日本Unboundユーザー会

全てのNSD 3のバージョンと開発ブランチのNSD 4にリモートからの攻撃可能なサービス不能の脆弱性が見つかりました。

リモートからの不正なパケットを受け取ることでNSDの子プロセスがクラッシュします。親プロセスのNSDは子プロセスのNSDを自動的に再起動させますが、攻撃者が連続して攻撃することで実質的にサービス不能になります。

詳しくはCVE-2012-2978をご覧ください。

対策

対策方法は以下のどちらかです。設定では回避はできません。

• 修正済みのNSD 3.2.12にアップデートすること
• パッチpatch.diffを適応してビルドし直してインストールすること

Unbound 1.4.17が5月24日にリリースされました。

主な変更点は次の通りです。

• rrset-roundrobinオプションの追加。レスポンスのRRSetの順番をラウンドロビン（クエリーIDをベースにランダムに返す）する。
• minimal-responsesオプションの追加。レスポンスを最小化（要求がなければauthority/additionalセクションを挿入しない）する。
• forward-firstオプションの追加。フォワードのクエリーに失敗したら、フォワードなしのクエリーを試みる。
• ECDSAがデフォルト有効。古いOpenSSLでは./configureのときに–disable-ecdsaを付ける必要がある。
• unbound-controlでforward_add, forward_remove, stub_add, stub_removeコマンドを追加。

ということで、Unbound 1.4.17ではDNSラウンドロビンに対応しました。unbound.confにおいて”rrset-roundrobin: yes”を設定すると有効になります。

変更点についての詳細は[Unbound-users] Unbound 1.4.17 releaseをご覧ください。

Unboundは公式サイトからダウンロードできます。

なお、Unboundが利用しているDNSライブラリであるldnsも5月21日にバージョン1.6.13がリリーされています。Unboundの最新版をインストールする方はldnsも最新版をインストールしてください。

Unbound 1.4.16が2月2日にリリースされました。

主な変更点はlibunboundでoutgoing-interfaceを扱う機能を追加したこととバグ修正です。
1月26日にリリースされたUnbound 1.4.15で発生したバグの修正も含んでいます。
変更点についての詳細は[Unbound-users] unbound 1.4.16 releaseをご覧ください。

Unboundは公式サイトからダウンロードできます。

Unbound 1.4.13以前にサービス不能の脆弱性が見つかりました。
非標準な応答を受けるとUnboundのサービスがクラッシュします。
詳しくはCVE-2011-4528をご覧ください。

また、日本語での情報に関してはJPRSの報告をご覧ください。

対策

対策としては対策したパッチがあたった次のバージョン以降のものを使ってください。

• 1.4.14
• 1.4.13p2

ただし、1.4.14rc1には脆弱性があります。

Unbound 1.4.14が12月19日にリリースされました。

これにはサービス不能(DoS)攻撃の脆弱性（VU#209659 CVE-2011-4528）への対策のパッチを含んでいます。
また、BSD makeの互換性の修正やSSL-wrapped queryのサポートを含んでいます。

新機能や変更点についての詳細は[Unbound-users] unbound 1.4.14 releaseをご覧ください。

Unboundは公式サイトからダウンロードできます。

Unbound 1.4.13が9月15日にリリースされました。

変更点は[Unbound-users] unbound 1.4.13 releaseをご覧ください。

Unboundは公式サイトからダウンロードできます。

Unbound 1.4.12が本日7月14日にリリースされました。

主な変更点は次の通りです。

• ldnsのソースコードのtar ballが含まれなくなった。そのため、–with-ldns-builtinオプションを使ってビルドしていた場合には、別途ldnsをインストールするか、ビルドしたldnsを–with-ldnsオプションで指定する必要がある。

なお、2つの中程度の深刻さの不具合の修正を含んでいます。

詳細は[Unbound-users] unbound 1.4.12 releaseをご覧ください。

Unboundは公式サイトからダウンロードできます。

Unbound 1.4.11が本日6月30日にリリースされました。

主な変更点は次の通りです。

• クエリーログの出力設定log-queriesの追加。次のようなログが出力されます: “Jun 30 22:04:21 mercury unbound: [27798:0] info: 127.0.0.1 unbound.jp. A IN”
• クライアントからのクエリーのCDフラグを無効にして、偽という回答を返すのを拒否する設定ignore-cd-flagの追加。CDフラグを設定するけど、検証ができないサーバ(Windows 2008)がクライアントのときに使う。
• unbound-controlのポート番号が8953に変更。

詳細は[Unbound-users] unbound 1.4.11 releaseをご覧ください。

Unboundは公式サイトからダウンロードできます。