標準パッケージで用意されている。リポジトリに入っている。使えば良いのではと考える。推奨しているようなので、これを使うべきと思われる。テクノロジーを使用するリスクを理解せずに使用しないでください。ロールオーバーについてDNSSECのルートゾーンKSKロールオーバーについて、ロールオーバー前後でDNSの検索に支障が出ないよう、各所から通達が出ている。キャッシュサーバーを管理している場合は、一応気を付けたほうが良い。フラグが付いていたら「キャッシュサーバーでDNSSEC署名検証が有効になっている」状態なので、更新後の鍵を設定してやる必要があるかもしれない。場合named.confにデフォルトで以下の設定が入っていて、DNSSEC署名検証が有効になっている。ルートゾーンの鍵が入っている。パッケージバージョンがbind-9.9.4-38.4以降であれば、上記2ファイルに新しい鍵が追加されるので、bindのパッケージをアップデートしてしまうのが一番手っ取り早く安心できる方法ではある。自動更新に対応している。このため、特に何かをする必要はない。いえ、CVE-2017-3142、CVE-2017-3143への対処が9.9.4-38.5以降で行われているので、パッケージを更新した方が良い。以下の記述があり、自動更新が有効になっている。新しい鍵が追加される。このため、これらの設定を変更していなければ、特に対処の必要はない。確認、その他EDNS0を無効化していないこと、経路上でTCP53が通ること、フラグメントパケットが通ることも確認しておく。コマンドで確認できる。txt非対応のキャッシュサーバだと、以下のような回答が返ってくる。インストールすることにする。標準パッケージのstrongswanをアンインストールアンインインストールする前に、起動スクリプトをバックアップしておく。/tmpその上で、標準のstrongswanをアンインストールする。ビルド・インストールwheezy-backportsパッケージのrulesファイルを参考にしてconfigureオプションを決定する。installさすがにCPUの能力が低いので、ビルドには時間がかかる。最初にコピーしておいた起動スクリプトを戻す。脆弱性を突く文字列+任意のコマンドを埋め込んで実行できる。条件としては、さらにサーバ上に「bashを実行しそうな実在のCGIスクリプト」などが存在することが必要。CGIスクリプトの言語がshまたはbashであればその条件に該当するし、仮にPHPやPythonだったとしても、system関数などを使っていれば/bin/shが起動されるため該当する。/bin/bashへのシンボリックリンクであるため上記が成立するが、Debian系など他のシステムでは成立しないかもしれない。/etc/passwdを実行させる例curlコマンドの-A(User-Agent:ヘッダを指定する)オプションを使用して、文字列を送り込む。実在する(かつ内部でbashを呼び出す)必要がある。攻撃者側へサーバのbashインタラクティブシェルを開く例bashの/dev/tcp/host/port入出力エミュレート機能というのがあって、デバイスファイルへの書き込みが特定ホスト/ポートへのTCPパケット送出となるようになっている。以下、この機能を使って攻撃者側にシェルプロンプトを開いてみる実行例。攻撃者は端末(tty1)で、ncコマンドなどを使いTCPの特定ポートを待ち受ける。以下の例では3333番ポートである。3333このtty1端末はそのまま待ち受け状態となる。ここでもう一つ端末(tty2)を立ち上げて、攻撃用のcurlコマンドを実行する。http://攻撃対象サーバのホスト名orIPアドレス/cgi-bin/test.cgiすると、さきほどのtty1にサーバのシェルプロンプトが現れる。サーバ側から攻撃者PCのTCP3333番へ接続され、bashの入出力が接続された状態となった。apacheの権限でできることであれば、ここから何でもインタラクティブに実行可能である。※SELinuxが有効になっていれば、2.のパターンの実行は阻止される。denied”が記録される。