4.4. ネットワーク

iproute がバージョン 6.2.0 にリベース

iproute パッケージはアップストリームバージョン 6.2.0 にアップグレードされ、以前のバージョンに比べて多くの機能拡張とバグ修正が行われました。主な変更点は以下のとおりです。

デフォルトの nftables サービス設定のセキュリティー向上

この機能拡張により、/etc/sysconfig/nftables/nat.nft ファイル内のデフォルトの nftables サービス設定に do_masquerade チェーンが追加されます。これにより、CVE-2021-3773 で説明されているポートシャドウ攻撃のリスクが軽減されます。do_masquerade チェーンの最初のルールが、適切なパケットを検出し、送信元ポートのランダム化を適用して、ポートシャドウ攻撃のリスクを軽減します。

NetworkManager が no-aaaa DNS オプションをサポートするようになりました。

no-aaaa オプションを使用して、スタブリゾルバーによって生成された AAAA クエリーを抑制することにより、マネージドノードで DNS 設定を設定できるようになりました。以前は、getaddrinfo などの NSS ベースのインターフェイスによってトリガーされる AAAA ルックアップを含む、スタブリゾルバーによって生成される AAAA クエリーを抑制するオプションはありませんでした。DNS ルックアップのみが影響を受けていました。この機能拡張により、nmcli ユーティリティーを使用して IPv6 解決を無効にできるようになりました。NetworkManager サービスの再起動後、no-aaaa 設定が /etc/resolv.conf ファイルに反映され、DNS ルックアップの制御が追加されます。

nm-cloud-setup ユーティリティーが IMDSv2 設定をサポートするようになる

ユーザーは、nm-cloud-setup ユーティリティーを使用して、Instance Metadata Service Version 2 (IMDSv2)を使用する AWS Red Hat Enterprise Linux EC2 インスタンスを設定できます。EC2 メタデータや新機能への不正アクセスを制限するセキュリティー強化に準拠するには、高度な機能を提供するために AWS と Red Hat のサービスを統合する必要があります。この機能拡張により、nm-cloud-setup ユーティリティーは保護された IMDSv2 トークンを使用することで、IMDSv2 トークンを取得して保存し、EC2 環境を検証して、利用可能なインターフェイスと IP 設定に関する情報を取得できるようになります。

libnftnl パッケージがバージョン 1.2.2 にリベース

カーネル内 nf_tables サブシステムの Netlink API (libnftnl) のパッケージがリベースされました。注目すべき変更点と機能拡張は次のとおりです。