質問: お客様による bind 9 アップデート方法 (cve-2017-3137)について
回答: ■**問題の概要**bind 9.x には、リモートからをサービスを停止させる脆弱性の問題があります。 プライマリ・セカンダリdnsの種別により影響範囲が異なります。bind が停止した場合、当該サーバを dns サーバとして利用しているドメイン 名の名前解決に問題が生じます。 なお、今回の脆弱性におきましては、bind 9 のアップデートをお勧めいたします。 本ページでは、お客様ご自身にてbind 9 をアップデートする方法をご案内いたします。 **■対象サービス** ご契約サーバ上で bind (dnsサーバソフトウェア) を運用しているサーバ (vps / fps / flex mini / flex mini2 / flex mini cube / 専用サーバ / 専用サーバ flex シリーズ / solacloud nano) **脆弱性(cve-2017-3137)の影響を受けるバージョン** bind 9.9.9-p6 bind 9.10.4-p6 bind 9.11.0-p3 **対象cve番号**cve-2017-3137 **セキュリティパッチ適用対象os** ・red hat enterprise linux 6 #### 注意 * **本手順は無保証となります。作業をされる際は、お客様の責任にておこなっていただけますようお願いいたします。** * **お客様にて初期設定から設定をカスタマイズしている場合は、以下のアップデート手順で正常にアップデートできない可能性がございます。ご注意ください。** * **弊社ではお客様サーバの os に対応した os ディストリビュータより提供された純正パッケージでのアップデートを強く推奨いたします。** ■**bind 9 アップデート方法** ##### (1). ssh にてサーバにログイン ssh にてサーバにログインし、root ユーザに切り替えます。 ##### (2). 事前確認 サーバに設定されているドメイン名を dig コマンドで確認し、正しい内容の応答があることを確認してください。 # dig @(サーバのグロールipアドレス) (サーバに設定されているドメイン名) soa ##### (3). osのバージョン確認方法 # cat /etc/redhat-release ##### (4). インストールされているパッケージの確認 # rpm -qa|grep ^bind ※一部のバージョンのbind-chrootパッケージがインストールされているサーバ においてアップデートを実施した場合、そのままの状態ではアップデート後に bindが起動しなくなる場合がございますので、ご注意ください。 ##### (5). bindのアップデートの実施 以下のコマンドを実行し、アップデートを行います **red hat enterprise linux 7および、**centos 7**の場合**# yum update bind* ##### (6). bind の再起動 以下のコマンドを実行し、bind の再起動を行います。**------------------------------------------------------------------------------------------------- red hat enterprise linux 6および、centos 6** # /etc/rc.d/init.d/named stop # /etc/rc.d/init.d/named start **-------------------------------------------------------------------------------------------------** **------------------------------------------------------------------------------------------------- red hat enterprise linux 7および、centos 7** # systemctl stop named # systemctl start named **-------------------------------------------------------------------------------------------------** ##### (7). bindパッケージのバージョン確認 **(bindの場合)** # rpm -q bind --qf '%{name}-%{version}-%{release}\n' bindパッケージのバージョンが、以下リリース番号と同じになっているかどうかを確認します。 **■centos 6および、red hat enterprise linux 6の場合の修正バージョン(bind)** 9.8.2-0.62.rc1.el6_9.1 **■centos 7および、red hat enterprise linux 7の場合の修正バージョン(bind)** 9.9.4-38.el7_3.3 ##### (8). 作業後確認 「(2). 事前確認」と同様の内容で応答があることを確認してください。 # dig @(サーバのグロールipアドレス) (サーバに設定されているドメイン名) soa 以上、となります。