Come posso risolvere la vulnerabilità di sicurezza di Shellshock in debian testing / jessie?

Il comando di prova

x='() { :;}; echo vulnerable' bash

mostra che la mia installazione di Debian 8 (Jessie) è vulnerabile, anche con gli ultimi aggiornamenti. La ricerca mostra che esiste una patch per stabile e instabile, ma che i test sono senza patch.

Immagino che la patch arriverà ai test tra un paio di giorni, ma in realtà sembra abbastanza brutta da essere paranoica. C'è un modo per ottenere il pacchetto da unstable e installarlo senza rompere il mio sistema? L'aggiornamento a unstable sembra che causerà più problemi di quanti ne risolva.

Secondo Bob, esiste una seconda vulnerabilità di Shellshock, che è stata risolta in una seconda patch. Il test dovrebbe essere:

 env X='() { (a)=>\' bash -c "echo echo vuln"; [[ "$(cat echo)" == "vuln" ]] && echo "still vulnerable :("

Ma non sono abbastanza abile in Bash per capire cosa significhi o perché sia ​​un problema. Ad ogni modo, fa qualcosa di strano, che è impedito da bash_4.3-9.2_amd64.deb su sistemi a 64 bit, che al momento della modifica è stabile e instabile ma non in Jessie / testing.

Per risolvere questo problema per Jessie , procurati l'ultimo Bash da unstable e installalo con dpkg -i.

Offre Jemenake

wget http://ftp.debian.org/debian/pool/main/b/bash/bash_4.3-9.2_$(dpkg --print-architecture).deb

come comando che otterrà la versione 4.3-9.2 per il tuo computer.

E puoi seguirlo con:

sudo dpkg -i bash_4.3-9.2_$(dpkg --print-architecture).deb

per installarlo.

Se hai bisogno di ulteriori patch instabili per il tuo sistema Jessie , questa è chiaramente la strada da percorrere ( mutatis mutandis ).

Scarica il pacchetto da unstable tramite questo link . Puoi anche controllare le dipendenze lì, anche se sembra che il bash instabile abbia le stesse dipendenze del bash dal test. Installa il deb scaricato con il seguente.

dpkg -i

Ho modificato questa risposta per le correzioni di base aggiuntive rilasciate lunedì.

Per Ubuntu 12.04, ho eseguito un aggiornamento, ma ho anche dovuto eseguire l'installazione per bash per sbarazzarmi della vulnerabilità.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test

Questo comando mostra che il sistema è vulnerabile, quindi esegui l'aggiornamento.

apt-get update && apt-get -y upgrade

Prova di nuovo

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test

Ancora vulnerabile.

apt-get install -y bash

Prova di nuovo

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test

Modifica: dopo il rilascio delle patch aggiuntive, l'output è cambiato.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
this is a test

Sìì! Fisso. Questo dovrebbe funzionare per altre versioni, ma non l'ho testato oltre la 12.04.

Inoltre, la risposta di runamok qui sotto funziona bene, quindi dagli un voto!

Un'alternativa per Debian 6.0 (Squeeze) senza recuperare i pacchetti da Debian 7 (Wheezy):

Utilizzare il repository di sicurezza LTS con la patch di backport.

Aggiungi questo a /etc/apt/sources.list:

#LTS security
deb http://http.debian.net/debian/ squeeze-lts main contrib non-free
deb-src http://http.debian.net/debian/ squeeze-lts main contrib non-free

Quindi corri apt-get update && apt-get install bash.

Via: domande linux

apt-get updateprima apt-get dist-upgradee otterrai la patch. L'ho fatto da solo e c'è stato un aggiornamento bash che ha risolto il problema.

L'ho risolto sul mio Hackintosh da:

$ brew install bash

$ x='() { :;}; echo vulnerable' bash
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
bash-4.3$ 

Ho scritto un articolo su come farlo con apt-get su vecchie versioni di Ubuntu. Fondamentalmente aggiorni il tuo sources.list al più recente e quindi esegui apt-get update e upgrade bash. Puoi leggerlo passo per passo o copiarlo da qui .

Sommario:

sudo sed -i 's/YOUR_OS_CODENAME/trusty/g' /etc/apt/sources.list
sudo apt-get update
sudo apt-get install --only-upgrade bash

Leggi l'articolo se usi old-releases.ubuntu.com e non dimenticare che potresti voler cambiare di nuovo:

sudo sed -i 's/trusty/YOUR_OS_CODENAME/g' /etc/apt/sources.list

La versione fissa (vedi changelog ) per il pacchetto Bash è in Debian 8 (Jessie) ora (vedi informazioni sul pacchetto ), a partire dal 2014/09/26 14:18 UTC.

La seconda correzione, menzionata nei commenti seguenti, è anche nel repository Jessie ora. Non è necessario installare da unstable. Vedi il link delle informazioni sul pacchetto sopra.

Non è più necessario installare da unstable.

Corri:

# aptitude update

seguito da:

# aptitude upgrade

Quindi verificare che la vulnerabilità sia scomparsa (in una shell aperta di recente):

$ x='() { :;}; echo vulnerable' bash
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'