Як виправити вразливість безпеки Shellshock в тестуванні debian / jessie?

Команда тесту

x='() { :;}; echo vulnerable' bash

показує, що моя установка Debian 8 (Jessie) є вразливою, навіть з останніми оновленнями. Дослідження показують, що існує патч для стабільного та нестабільного, але тестування не має чітких змін.

Я думаю, що патч зробить тестування через пару днів, але це насправді виглядає досить неприємно, щоб бути параноїком. Чи є спосіб отримати пакет з нестабільного та встановити його, не порушуючи мою систему? Оновлення до нестабільного виглядає так, що це спричинить більше проблем, ніж вирішує.

За словами Боба, існує друга вразливість Shellshock, яка фіксується у другому патчі. Тест для нього повинен бути:

 env X='() { (a)=>\' bash -c "echo echo vuln"; [[ "$(cat echo)" == "vuln" ]] && echo "still vulnerable :("

Але я недостатньо кваліфікований в Bash, щоб розібратися, що це означає чи чому це проблема. У будь-якому випадку це робить щось дивне, що перешкоджає bash_4.3-9.2_amd64.deb у 64-бітних системах, які під час редагування знаходяться у стабільній та нестабільній, але не в Джессі / тестуванні.

Щоб виправити це для Джессі , дістаньте останній Bash з нестабільного та встановіть його dpkg -i.

Jemenake пропонує

wget http://ftp.debian.org/debian/pool/main/b/bash/bash_4.3-9.2_$(dpkg --print-architecture).deb

як команда, яка отримає версію 4.3-9.2 для вашої машини.

І ви можете слідувати цьому за допомогою:

sudo dpkg -i bash_4.3-9.2_$(dpkg --print-architecture).deb

щоб встановити його.

Якщо вам потрібні додаткові виправлення від нестабільної для вашої системи Джессі , це явно шлях ( mutatis mutandis ).

Завантажте пакет з нестабільної за цим посиланням . Ви також можете перевірити залежності там, хоча, схоже, нестабільний баш має ті ж залежності, що і баш від тестування. Встановіть завантажений деб із наступним.

dpkg -i

Я відредагував цю відповідь для додаткових виправлень bash, випущених у понеділок.

Для Ubuntu 12.04 я запустив оновлення, але також довелося запустити інсталяцію для bash, щоб позбутися вразливості.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test

Ця команда показує, що система вразлива, тому запустіть оновлення.

apt-get update && apt-get -y upgrade

Перевірте ще раз.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test

Досі вразливі.

apt-get install -y bash

Перевірте ще раз.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test

Правка: Після випуску додаткових патчів вихід змінився.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
this is a test

Так! Виправлено. Це має працювати для інших версій, але я не перевіряв його після 12.04.

Також відповідь runamok нижче працює добре, тому дайте йому підсумок!

Альтернатива Debian 6.0 (Squeeze) без отримання пакунків з Debian 7 (Wheezy):

Використовуйте сховище безпеки LTS, яке підтримує патч.

Додайте це до /etc/apt/sources.list:

#LTS security
deb http://http.debian.net/debian/ squeeze-lts main contrib non-free
deb-src http://http.debian.net/debian/ squeeze-lts main contrib non-free

Потім бігайте apt-get update && apt-get install bash.

Через: linuxquestions

apt-get updateраніше, apt-get dist-upgradeі ви отримаєте пластир. Просто зробив це сам, і там відбулося баш оновлення, яке виправляє проблему.

Я зафіксував це на своєму Хакінтоші :

$ brew install bash

$ x='() { :;}; echo vulnerable' bash
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
bash-4.3$ 

Я написав статтю про те, як це зробити за допомогою apt-get на старих версіях Ubuntu. Ви в основному оновлюєте свій source.list до найновішого, а потім запускаєте apt-get update та update bash. Ви можете прочитати його крок за кроком або скопіювати його звідси .

Підсумок:

sudo sed -i 's/YOUR_OS_CODENAME/trusty/g' /etc/apt/sources.list
sudo apt-get update
sudo apt-get install --only-upgrade bash

Прочитайте статтю, якщо ви використовуєте old-releases.ubuntu.com і не забувайте, що ви можете змінити її:

sudo sed -i 's/trusty/YOUR_OS_CODENAME/g' /etc/apt/sources.list

Фіксована версія (див. Журнал змін ) для пакета Bash зараз знаходиться в Debian 8 (Jessie) (див. Інформацію про пакет ) станом на 26.09.2014 14:18 UTC.

Другий виправлення, згаданий у коментарях нижче, зараз також знаходиться у сховищі Джессі . Не потрібно встановлювати з нестабільних. Дивіться посилання з інформацією про пакет вище.

Встановлювати з нестабільної вже не потрібно.

Просто запустіть:

# aptitude update

далі:

# aptitude upgrade

Потім перевірте, що вразливість зникла (у щойно відкритій оболонці):

$ x='() { :;}; echo vulnerable' bash
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'