Debian test / jessie'de Shellshock güvenlik açığını nasıl düzeltirim?

Test komutu

x='() { :;}; echo vulnerable' bash

Debian 8 (Jessie) kurulumumun en son güncellemelerle bile savunmasız olduğunu gösteriyor . Araştırmalar istikrarlı ve dengesizlik için bir yama olduğunu, ancak testin lekesiz olduğunu gösteriyor.

Yama birkaç gün içinde test etmeyi başaracak, ancak bu aslında paranoyak olmak için yeterince kötü görünüyor. Paketi dengesiz hale getirip sistemimi bozmadan kurmanın bir yolu var mı? Kararsız görünüme geçmek, çözdüğünden daha fazla soruna neden olur.

Bob'a göre, ikinci bir yamada sabitlenmiş ikinci bir Shellshock güvenlik açığı var. Bunun için test olması gerekiyordu:

 env X='() { (a)=>\' bash -c "echo echo vuln"; [[ "$(cat echo)" == "vuln" ]] && echo "still vulnerable :("

Ancak Bash'in bunun ne anlama geldiğini ya da neden bir problem olduğunu çözecek kadar yetenekli değilim. Her halükarda, bash_4.3-9.2_amd64.deb tarafından 64-bit sistemler üzerinde yapılan ve düzenleme sırasında sabit ve kararsız olan ancak Jessie / testte olmayan, garip bir şey yapıyor .

Jessie için bunu düzeltmek için kararsız olandan en son Bash'i al ve onu yükle dpkg -i.

Jemenake teklifleri

wget http://ftp.debian.org/debian/pool/main/b/bash/bash_4.3-9.2_$(dpkg --print-architecture).deb

Makineniz için 4.3-9.2 sürümünü alacak bir komut olarak.

Ve bunu takip edebilirsiniz:

sudo dpkg -i bash_4.3-9.2_$(dpkg --print-architecture).deb

yüklemek için.

Jessie sisteminiz için dengesiz olanlardan başka yamalara ihtiyacınız varsa , bu kesinlikle açık yoldur ( mutatis mutandis ).

Paketi bu link üzerinden dengesiz olarak indirin . Oradaki bağımlılıkları da kontrol edebilirsiniz, ancak dengesiz bash'in test edilen bash ile aynı bağımlılığa sahip olmasına rağmen. İndirilen debiyi aşağıdaki gibi yükleyin.

dpkg -i

Bu cevabı Pazartesi günü yayımlanan ek bash düzeltmeleri için düzenledim.

Ubuntu 12.04 için bir güncelleme yaptım, ancak güvenlik açığından kurtulmak için bash kurulumunu da çalıştırmak zorunda kaldım.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test

Bu komut sistemin savunmasız olduğunu gösterir, bu yüzden güncellemeyi çalıştırın.

apt-get update && apt-get -y upgrade

Tekrar test et.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test

Hala savunmasız.

apt-get install -y bash

Tekrar test et.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test

Düzenleme: Ek yamalar yayınlandıktan sonra çıktı değişti.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
this is a test

Yuppi! Sabit. Bu, diğer sürümler için çalışmalıdır, ancak 12.04'ün ötesinde test etmedim.

Ayrıca, runamok'un aşağıdaki yanıtı iyi çalışıyor, bu yüzden ona bir oy ver!

Debian 7'den (Wheezy) paket almaya gerek kalmadan Debian 6.0 (Squeeze) için bir alternatif:

Düzeltme ekinin desteklendiği LTS güvenlik deposunu kullanın.

Şunu ekle /etc/apt/sources.list:

#LTS security
deb http://http.debian.net/debian/ squeeze-lts main contrib non-free
deb-src http://http.debian.net/debian/ squeeze-lts main contrib non-free

O zaman koş apt-get update && apt-get install bash.

Üzerinden: linuxquestions

apt-get updateönce apt-get dist-upgradeve yamayı alacaksın. Sadece kendim yaptım ve sorunu gideren bir bash yükseltme yapıldı.

Bunu Hackintosh'ta düzeltdim :

$ brew install bash

$ x='() { :;}; echo vulnerable' bash
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
bash-4.3$ 

Eski Ubuntu sürümlerinde apt-get ile bunun nasıl yapılacağı hakkında bir makale yazdım. Temel olarak sources.list'inizi en yenisine günceller, daha sonra apt-get update ve upgrade bash komutunu çalıştırırsınız. Adım için okuyabilir veya buradan kopyalayabilirsiniz .

Özet:

sudo sed -i 's/YOUR_OS_CODENAME/trusty/g' /etc/apt/sources.list
sudo apt-get update
sudo apt-get install --only-upgrade bash

Old-releases.ubuntu.com kullanıyorsanız makaleyi okuyun ve tekrar değiştirmek isteyebileceğinizi unutmayın:

sudo sed -i 's/trusty/YOUR_OS_CODENAME/g' /etc/apt/sources.list

Bash paketi için sabit sürüm (bakınız changelog ) şimdi Debian 8'de (Jessie) (bkz. Paket bilgileri ), 2014-09-26 14:18 UTC'den itibaren.

Aşağıdaki açıklamalarda belirtilen ikinci düzeltme şu anda Jessie deposunda. Dengesiz den yüklemek için gerek yoktur. Yukarıdaki paket bilgileri bağlantısına bakın.

Artık dengesiz olanlardan kurulum yapmaya gerek yoktur.

Sadece koş:

# aptitude update

bunu takiben:

# aptitude upgrade

Ardından, güvenlik açığının kaybolduğunu doğrulayın (yeni açılan bir kabukta):

$ x='() { :;}; echo vulnerable' bash
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'