GHOST(CVE-2015-0235)の件
個人的なメモ
画像がかわいい。
概要
ソース読め。
ソース
一番詳しい感じのソース
https://www.qualys.com/research/security-advisories/GHOST-CVE-2015-0235.txt
これよんだら大体わかる。
日本語出わかりやすくまとまっている情報
http://www.walbrix.com/jp/blog/2015-01-ghost.html
http://www.walbrix.com/jp/blog/2015-01-ghost.html
Exploitコードもありますのでテストしやすくて助かる、日本語で安心
安定のPiyologさんの情報
glibc の脆弱性 CVE-2015-0235(通称:GHOST)についてまとめてみた - piyolog
日本語なので日本人にやさしい
Trendmicroの情報
Linuxに存在する脆弱性「GHOST」、システム管理者は落ち着いて対処を | トレンドマイクロ セキュリティブログ
そんな慌てる必要ないんじゃないのって落ち着かせてくれる。
いっぱんじんの人によさそうなzdnetの情報
Linuxに深刻なセキュリティホール「GHOST」、今すぐパッチが必要 - ZDNet Japan
あまりやくにはたたないけど、一般人でも読める。
PHPの話
getaddrinfoつかってるなら安全って話だし、PHPの(新しい)ソースコードみてみたけど、
https://github.com/php/php-src/blob/fc33f52d8c25997dd0711de3e07d0dc260a18c11/ext/standard/dns.c#L242
gethostbynameつかわれてるっぽい、残念。
古いLinuxの話
CentOS5まではパッチでてるのでyumで一発だった。「テストコードでためしたかぎり」サーバーリブートしなくても反映された。
ただ、glibcのアップデートは希にへんなことやる、というのは(俺は食らったこと無いんだけど)たまーーに聞くので気を付けよう。
事情でyum-cronとかいれてないサーバーで、この機会だからとupdateすると数百メガとかパッケージがあがって肝試しはできる。
CentOS4は絶望感あるけどもうそれはしかたないので死のう。
素手で動いてるサーバーのglibc入れ換えるのは危険が危ない(同一環境でビルドしてもってきてナムサンアップデートとか荒技とかやる価値はないでしょ…)。
「PHP5.1.6環境を後10年つかうぞ!!」というお客様が全員火だるまになるのを観測しておりますが、先日のアレもア(以下検閲)
まとめ
アタック事例はまだ噂でしかきいていないけど、かなり困難っぽい、けど、自分が自信をもって説明するより、アップデートしたほうが楽なので粛々とやる。
やはりパッチがでてくる新しいOSに年々乗り換えるべきで、10年とか同じサーバーをつかいまわすべきではない。つまりアプリのコードを新しくしないといけない。がんばりましょう。