Rocky Linux 9 [CIQ] 安全性更新：python3-unbound / python3-unbound-debuginfo / unbound / etc （crlsa-2024_1750）

high Nessus Plugin ID 354692

語言:

概要

Rocky Linux 主機缺少一或多個安全性更新。

說明

Rocky Linux 9 主機已安裝的套件會受到 CIQ crlsa-2024_1750 公告中所述弱點影響。

* 在 Unbound 中發現弱點，因為預設權限不正確，允許 unbound 群組之外的任何處理程序修改 unbound 執行階段組態。control-use-cert 的預設組合：在 control-interface 選項中明確或隱含使用 IP 位址的任何選項都不能允許不當存取。如果處理程序可透過 localhost 連線至連接埠 8953，則可變更 unbound.service 的設定。此缺陷允許無權限的本機進程操縱正在執行的實例，從而可能更改轉發器，允許它們追蹤本機解析器轉發的所有查詢，並且在某些情況下，會完全中斷解析。

為緩解此弱點，已新增新檔案 /etc/unbound/conf.d/remote-control.conf ，並包含在主要的未綁定設定檔 unbound.conf 中。該檔案包含兩個應限制對 unbound.conf 的存取的指令：

control-interface： /run/unbound/control control-use-cert：是

如需有關這些指令的詳細資訊，請執行 man unbound.conf。

在大部分情況下，更新至此公告所提供的 unbound 版本應該可以解決弱點。若要驗證您的設定沒有弱點，請使用 unbound-control status |grep control 命令。如果輸出包含 control（ssl）或 control（namedpipe），則您的設定不會受到攻擊。如果命令輸出僅傳回控制權，則設定容易受到攻擊，因為它不會只強制存取未綁定的群組成員。若要修正您的設定，請新增包含行：
/etc/unbound/conf.d/remote-control.conf 新增至 /etc/unbound/unbound.conf 檔案的結尾。如果您使用自訂 /etc/unbound/conf.d/remote-control.conf 檔案，請將新指令新增至此檔案。（CVE-2024-1488）

Tenable 已直接從 CIQ 安全性公告中擷取上述描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。