2011年7月5日（米国時間）付けのBIND脆弱性

　今回の脆弱性については、前回よりもクリティカルなようで、各種メディアでも取り上げられています。普段、興味がない人まで「どーなっているの？」と気になっているとかいないとか。

とりあえず、自分が管理しているテスト機のバージョンアップを、BIND 9.7.3-P3とBIND 9.8.0-P4、両方の系統でやってみましたが、従来どおりのやり方（make installで上書き）で問題なく動くようです。

ためしに、バージョンアップ前のものを停止させずに、make installしてみましたが1秒間隔での問い合わせを落とすことはありませんでした。（make install後 プロセスのrestartはやりましたけどね。restart時も落ちてなかったなー。）本番環境では、プロセス落として、バージョンアップして、またプロセスあげるようにするかとは思いますが。。。

良い本でした。

人から借りて読んだのですが、内容が分かりやすくスラスラと読めました。
PHPによる実機確認もできるように編まれているので、操作しながら読むともっとよいかも。

訳（約）完成 BIND9.8の概要

http://www.isc.org/files/BIND98_web_event-2011-03-02.pdf
の訳がほぼ終わりました。。。。
だれか見てるのか、で役に立つのか。。。

Bind 9.8 feature overview

View more presentations from qt_takada

DNSSEC再入門

アットマーク・アイティーでDNSSEC再入門として記事がでてます。
再入門って言うほど、DNSSECが浸透しているように思えないけど、記事はわかりやすく素敵。
http://www.atmarkit.co.jp/fnetwork/index/index_dnssec.html

bind-9.8.0-P2は枯れてないらしい

ネタ元は、http://dnsops.jp/ml.htmlですが、bind-9.8.0-P2(てか、bind9.8.0)にはCNAMEを引かれた場合に
Additionalセクションなどを返さないbugがあるらしいです。（結果、Aレコードが引かれず名前解決が失敗に終わるという）。
https://lists.isc.org/pipermail/bind-users/2011-May/083725.html

本番では、9.7.3系を使うのがよさげです。

bind-9.8.0-P2へのバージョンアップ手順

bind9-8.0-P2へのバージョンアップをしてみた。既存環境はbind9.7.3です。

1.ソースファイルの入手

[root@hoge src]#wget http://ftp.isc.org/isc/bind9/9.8.0-P2/bind-9.8.0-P2.tar.gz

2.展開

[root@hoge src]#tar -zxvf bind-9.8.0-P2.tar.gz

3.コンパイル
configureのオプションは環境にあわせること。バージョンアップ前のオプションを調べるためには
ソースディレクトリのconfig.statusファイルを見るとよい。（named -Vでも確認可能だそうで）

[root@hoge src]#cd bind-9.8.0-P2 [root@hoge bind-9.8.0-P2]#./configure --prefix=/usr/local/bind980P2 --disable-ipv6 --disable-openssl-version-check --enable-threads CFLAGS=-DDIG_SIGCHASE [root@hoge bind-9.8.0-P2]#make [root@hoge bind-9.8.0-P2]#make　install

4.既存のbindプロセス（named）を停止

[root@hoge local]#/etc/init.d/named stop

5.シンボリックリンクの差替え
今回の環境は、bindのバージョン別に/usr/localの下にインストールを行っていて、使用するバージョンを/usr/local/bindとしてシンボリックリンクを貼っているので。。。

[root@hoge local]#pwd /usr/local [root@hoge local]#ls -la 合計 108 drwxr-xr-x 15 root root 4096  5月 30 09:58 . drwxr-xr-x 15 root root 4096  5月 13 04:12 .. drwxr-xr-x  2 root root 4096  5月 11 20:58 bin lrwxrwxrwx  1 root root   18  3月  8 11:42 bind -> /usr/local/bind973 drwxr-xr-x  9 root root 4096  1月 22 02:10 bind972p3 drwxr-xr-x  9 root root 4096  3月  8 11:41 bind973 drwxr-xr-x  9 root root 4096  5月 30 09:58 bind980P2 drwxr-xr-x  2 root root 4096  5月 11 20:58 etc drwxr-xr-x  2 root root 4096  5月 11 20:58 games drwxr-xr-x  2 root root 4096  5月 11 20:58 include drwxr-xr-x  2 root root 4096  5月 11 20:58 lib drwxr-xr-x  2 root root 4096  5月 11 20:58 lib64 drwxr-xr-x  2 root root 4096  5月 11 20:58 libexec drwxr-xr-x  2 root root 4096  5月 11 20:58 sbin drwxr-xr-x  4 root root 4096  5月 11 20:58 share drwxr-xr-x  5 root root 4096  5月 30 09:52 src [root@hoge local]#rm bind rm: remove シンボリックリンク `bind'? y [root@hoge local]#ls -l 合計 92 drwxr-xr-x 2 root root 4096  5月 11 20:58 bin lrwxrwxrwx 1 root root   20  5月 30 10:03 bind -> /usr/local/bind980P2 drwxr-xr-x 9 root root 4096  1月 22 02:10 bind972p3 drwxr-xr-x 9 root root 4096  3月  8 11:41 bind973 drwxr-xr-x 9 root root 4096  5月 30 09:58 bind980P2 drwxr-xr-x 2 root root 4096  5月 11 20:58 etc drwxr-xr-x 2 root root 4096  5月 11 20:58 games drwxr-xr-x 2 root root 4096  5月 11 20:58 include drwxr-xr-x 2 root root 4096  5月 11 20:58 lib drwxr-xr-x 2 root root 4096  5月 11 20:58 lib64 drwxr-xr-x 2 root root 4096  5月 11 20:58 libexec drwxr-xr-x 2 root root 4096  5月 11 20:58 sbin drwxr-xr-x 4 root root 4096  5月 11 20:58 share drwxr-xr-x 5 root root 4096  5月 30 09:52 src

6.bindプロセス（named）を起動

[root@hoge local]#/etc/init.d/named start

7.確認

[root@hoge local]#/usr/local/bind/sbin/named -v BIND 9.8.0-P2

BIND 9.8.0-P2がでましたね。

でましたね。
http://jprs.jp/tech/security/2011-05-27-bind9-vuln-large-rrsig-and-ncache.html