Rocky Linux 8ホストには、CIQ crlsa-2024_1751 アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    * Unboundに不適切なデフォルトのアクセス許可による脆弱性が見つかりました。これにより、unboundグループ外の任意のプロセスがunboundランタイム設定を変更する可能性があります。control-use-cert のデフォルトの組み合わせ:コントロールインターフェイスオプションに IP アドレスを明示的または暗黙的に使用するオプションはありません。これにより、不適切なアクセスが引き起こされる可能性があります。プロセスが localhost でポート 8953 に接続できる場合、unbound.service の設定を変更する可能性があります。この欠陥により、権限のないローカルプロセスが実行中のインスタンスを操作してフォワーダーを変更したり、ローカルリゾルバーによって転送されたすべてのクエリを追跡したり、場合によっては解決が完全に中断される可能性があります。

    この脆弱性を緩和するために、新しいファイル /etc/unbound/conf.d/remote-control.conf が追加され、メインの unbound 構成ファイルである unbound.conf に含まれています。このファイルには、unbound.conf へのアクセスを制限する 2 つのディレクティブが含まれています:

        control-interface:/run/unbound/control control-use-cert:はい

    これらのディレクティブの詳細については、man unbound.conf を実行してください。

    このアドバイザリによって提供されている unbound のバージョンに更新すれば、ほとんどの場合、この脆弱性に対処できるはずです。設定が脆弱ではないことを確認するには、unbound-control status |grep コントロールコマンドを実装します。出力に control(ssl) または control(namedpipe) が含まれている場合、構成は脆弱ではありません。コマンド出力がコントロールのみを戻す場合、バインドされていないグループメンバーにのみアクセスを強制しないので、構成は脆弱です。構成を修正するには、次の行を追加します:
    /etc/unbound/conf.d/remote-control.conf を /etc/unbound/unbound.conf ファイルの最後まで。カスタムの /etc/unbound/conf.d/remote-control.conf ファイルを使用する場合は、このファイルに新しいディレクティブを追加します。
    (CVE-2024-1488)

Tenableは、前述の記述ブロックをCIQセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Rocky Linux 8 [CIQ] セキュリティ更新:python3-unbound / python3-unbound-debuginfo / unbound / etc(crlsa-2024_1751)

high Nessus プラグイン ID 354895

変更ログが見つかりません