「glibcのgethostbyname系関数に脆弱性、「GHOST」と呼ばれる」記事へのコメント

影響を回避できそうなソフト

[COCKY (5646)]

QualysのSecurity Teamの投稿 [seclists.org]によれば、以下のソフトは影響を受けなさそうとのこと。

> apache, cups, dovecot, gnupg, isc-dhcp, lighttpd, mariadb/mysql,
> nfs-utils, nginx, nodejs, openldap, openssh, postfix, proftpd,
> pure-ftpd, rsyslog, samba, sendmail, sysklogd, syslog-ng, tcp_wrappers,
> vsftpd, xinetd.

なのでとりあえず自分は様子見。

Re:

[Anonymous Coward]

検証用 Redhat 5台
検証用 CentOS 15台

本番用 Redhat 3台
本番用 CentOS 50台前後

yumで適用して今のところ問題ありません。
glibcですが1月7日前後にも更新されていますので
yum-cronやyum-updatedでキャッシュしている場合
古いのを当てて満足しないように・・・大きなお世話か。

Re:

[Anonymous Coward]

ここにのっていないもので大物は、BINDくらいですかね？

Re:影響を回避できそうなソフト

[Anonymous Coward]

BINDは最新バージョンでもgethostbyname多用してますね
qmailとvpopmailもみてみましたが、こちらは大丈夫な様子

Re:影響を回避できそうなソフト

[Anonymous Coward]

>BINDは最新バージョンでもgethostbyname多用してますね

少なくとも named では使わねーから気にすんな。
ちゃんとソースを調べればわかるけど、DNS で名前解決する named が /etc/hosts やら nsswitch の影響を受ける gethosbyname を使うわけがない。

Re:

[Anonymous Coward]

>BINDは最新バージョンでもgethostbyname多用

>namedでは使われない

無知で、すまんが、これが矛盾していないのが理解できない。
リゾルバとして利用している限りは問題ないってこと？

Re:影響を回避できそうなソフト

[Anonymous Coward]

BIND のソースには named とは無関係なものもたくさん含まれてる、ってこと。
ソースを grep すればわかるけど、使われてるのは lwres と idn の2ヶ所。
前者は named とは完全に独立したプログラム/ライブラリで named とは一切関与しない。
後者も国際化ドメインを扱う単体ツールの部分が使ってるだけで、named へのパッチ部分では使われてない。

Re:

[Anonymous Coward]

参考になりました。
ありがとうございます。