overflo内容見るに、getaddrinfoの名前朝解決時に悪意あるDNSレスポンスパケット食わされるとexploit発動って...、それほぼ全ての通信を行うアプリが全部ヤバい奴じゃん!!!てか個人的な話だがタイミングがマジ糞すぎる。上げたら既存プロセスは再起動してやらないといけないのでまぁ全プロセス考えたら一度OSごと再起動するのが早いわね。あたりは個別に再起動しといたほうがいいかもねっていうかやっぱ全部だからサーバごと再起動するのが早いね!対策2(邪道、っていうか全台再起動とか大仕事すぎるから少し時間的猶予をくれ!!)って人は多いと思う。いうかうちなんてマジそれだしな。あと2日早く言ってくれたらどんなに良かったか...。ぶっ叩けそうなのでその設定を書いておく。DNSSECとかあとDNSサーバ同士のAXFR使ったゾーン転送とかで問題起きるかもだけど。パケットサイズでフィルタ出来たような気がするから調べる...。あったあったlengthモジュールだ。↓こんな感じでパケットサイズをレンジ指定で条件付け出来る。反映だ!firewalldの場合(CentOS7とか)iptablesとfirewalldは一緒に使えない(というかfirewalldはiptablesの只のラッパーで、今までiptablesを直叩きしてたのをCLIや設定用のI/Fを変えたものなだけ)なので、firewalldでルールを管理してる場合は、その流儀に従って追加をしてやりましょう。--reloadってことでドーン。オプションでiptablesのオプションをそのまま書いてルール追加。以下のようにルールが追加されてるはずだ。DROP&lt;/rule&gt;&lt;/direct&gt;時間稼ぎが出来たらあとは頑張るスケジュール立てて、いっぱいglibc上げて、いっぱい再起動する。以上!最終的にはやっぱ頑張るのだ。気休め程度と思ってやっぱしちゃんとglibc入れ替える方向は頑張りましょう。これだけやってとりあえず安心して根本放置するのはやめてねーと。追記:MTUでフラグメント化したら2048バイトのパケットとか来ないんじゃね?って懸念についてMTUでフラグメント化したらパケットは全部2048バイト以下で意味なんじゃね?ッて思ったのでとりあえずstateを足してみた。state有効だとip_conntrackが読み込まれてフラグメント化されたパケットをPREROUTING辺りでデフラグメントしてからINPUTチェーンに来るんだった気がするので、多分filter時点ではMTUの影響は気にしなくて良くなるはず。そこまで詳しく理解してない部分も多いからやっぱり気休めかもしれず。overflo](https://sourceware.org/ml/libc-alpha/2016-02/msg00416.html)内容見るに、getaddrinfoの名前朝解決時に悪意あるDNSレスポンスパケット食わされるとexploit発動って...、それほぼ全ての通信を行うアプリが全部ヤバい奴じゃん!!!てか個人的な話だがタイミングがマジ糞すぎる。上げたら既存プロセスは再起動してやらないといけないのでまぁ全プロセス考えたら一度OSごと再起動するのが早いわね。対策2(邪道、っていうか全台再起動とか大仕事すぎるから少し時間的猶予をくれ!!)って人は多いと思う。いうかうちなんてマジそれだしな。あと2日早く言ってくれたらどんなに良かったか...。ぶっ叩けそうなのでその設定を書いておく。DNSSECとかあとDNSサーバ同士のAXFR使ったゾーン転送とかで問題起きるかもだけど。パケットサイズでフィルタ出来たような気がするから調べる...。あったあったlengthモジュールだ。↓こんな感じでパケットサイズをレンジ指定で条件付け出来る。firewalldの場合(CentOS7とか)iptablesとfirewalldは一緒に使えない(というかfirewalldはiptablesの只のラッパーで、今までiptablesを直叩きしてたのをCLIや設定用のI/Fを変えたものなだけ)なので、firewalldでルールを管理してる場合は、その流儀に従って追加をしてやりましょう。--reload```ってことでドーン。オプションでiptablesのオプションをそのまま書いてルール追加。以下のようにルールが追加されてるはずだ。時間稼ぎが出来たらあとは頑張るスケジュール立てて、いっぱいglibc上げて、いっぱい再起動する。以上!最終的にはやっぱ頑張るのだ。気休め程度と思ってやっぱしちゃんとglibc入れ替える方向は頑張りましょう。これだけやってとりあえず安心して根本放置するのはやめてねーと。追記:MTUでフラグメント化したら2048バイトのパケットとか来ないんじゃね?って懸念についてMTUでフラグメント化したらパケットは全部2048バイト以下で意味なんじゃね?ッて思ったのでとりあえずstateを足してみた。state有効だとip_conntrackが読み込まれてフラグメント化されたパケットをPREROUTING辺りでデフラグメントしてからINPUTチェーンに来るんだった気がするので、多分filter時点ではMTUの影響は気にしなくて良くなるはず。そこまで詳しく理解してない部分も多いからやっぱり気休めかもしれず。送信いただいたご意見への返信は行っておりません。お問い合わせください。