Jak naprawić lukę w zabezpieczeniach Shellshock podczas testowania Debiana / Jessie?

Polecenie testowe

x='() { :;}; echo vulnerable' bash

pokazuje, że moja instalacja Debian 8 (Jessie) jest podatna na atak, nawet przy najnowszych aktualizacjach. Badania pokazują, że istnieje łatka na stabilne i niestabilne, ale testowanie jest niedopasowane.

Wydaje mi się, że łatka przejdzie do testowania za kilka dni, ale w rzeczywistości wygląda to wystarczająco paskudnie, żeby być paranoikiem. Czy jest jakiś sposób, aby uzyskać pakiet z niestabilności i zainstalować go bez uszkodzenia systemu? Aktualizacja do niestabilnej wygląda na to, że spowoduje więcej problemów niż rozwiązuje.

Według Boba istnieje druga luka w Shellshock, która została naprawiona w drugiej łatce. Testem powinno być:

 env X='() { (a)=>\' bash -c "echo echo vuln"; [[ "$(cat echo)" == "vuln" ]] && echo "still vulnerable :("

Ale nie mam wystarczających umiejętności w Bash, aby zrozumieć, co to oznacza lub dlaczego jest to problem. W każdym razie robi coś dziwnego, czemu zapobiega bash_4.3-9.2_amd64.deb w systemach 64-bitowych, które w czasie edycji są stabilne i niestabilne, ale nie w Jessie / testowaniu.

Aby to naprawić dla Jessie , pobierz najnowszą wersję Bash ze strony niestabilnej i zainstaluj ją dpkg -i.

Oferty Jemenake

wget http://ftp.debian.org/debian/pool/main/b/bash/bash_4.3-9.2_$(dpkg --print-architecture).deb

jako polecenie, które otrzyma wersję 4.3-9.2 dla twojego komputera.

I możesz to śledzić za pomocą:

sudo dpkg -i bash_4.3-9.2_$(dpkg --print-architecture).deb

zainstalować.

Jeśli potrzebujesz dodatkowych łatek z niestabilnej dla swojego systemu Jessie , jest to zdecydowanie właściwa droga ( mutatis mutandis ).

Pobierz pakiet z niestabilnej za pomocą tego linku . Możesz również sprawdzić zależności tam, chociaż wygląda na to, że niestabilne bash ma te same zależności, co bash z testowania. Zainstaluj pobrany deb z następującymi elementami.

dpkg -i

Zredagowałem tę odpowiedź dla dodatkowych poprawek bash, które zostały wydane w poniedziałek.

W przypadku Ubuntu 12.04 uruchomiłem aktualizację, ale musiałem również uruchomić instalację bash, aby pozbyć się luki.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test

To polecenie pokazuje, że system jest podatny na zagrożenia, więc uruchom aktualizację.

apt-get update && apt-get -y upgrade

Przetestuj ponownie.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test

Nadal wrażliwy.

apt-get install -y bash

Przetestuj ponownie.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test

Edycja: Po wydaniu dodatkowych poprawek dane wyjściowe uległy zmianie.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
this is a test

Tak! Naprawiony. Powinno to działać w przypadku innych wersji, ale nie testowałem go po 12.04.

Również poniższa odpowiedź runamoka działa dobrze, więc daj mu głos!

Alternatywa dla Debian 6.0 (Squeeze) bez pobierania pakietów z Debian 7 (Wheezy):

Skorzystaj z repozytorium zabezpieczeń LTS, w którym poprawka została zportowana.

Dodaj to do /etc/apt/sources.list:

#LTS security
deb http://http.debian.net/debian/ squeeze-lts main contrib non-free
deb-src http://http.debian.net/debian/ squeeze-lts main contrib non-free

Potem biegnij apt-get update && apt-get install bash.

Via: linuxquestions

apt-get updatewcześniej, apt-get dist-upgradea dostaniesz łatkę. Zrobiłem to sam i wprowadzono aktualizację bash, która rozwiązuje problem.

Naprawiłem to na moim Hackintoshu poprzez:

$ brew install bash

$ x='() { :;}; echo vulnerable' bash
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
bash-4.3$ 

Napisałem artykuł o tym, jak to zrobić za pomocą apt-get na starych wersjach Ubuntu. Zasadniczo aktualizujesz swój source.list do najnowszego, a następnie uruchamiasz apt-get update i upgrade bash. Możesz przeczytać krok po kroku lub skopiować tutaj .

Podsumowanie:

sudo sed -i 's/YOUR_OS_CODENAME/trusty/g' /etc/apt/sources.list
sudo apt-get update
sudo apt-get install --only-upgrade bash

Przeczytaj artykuł, jeśli korzystasz ze old-releases.ubuntu.com i nie zapomnij, że możesz chcieć go zmienić:

sudo sed -i 's/trusty/YOUR_OS_CODENAME/g' /etc/apt/sources.list

Naprawiona wersja (patrz dziennik zmian ) pakietu Bash znajduje się teraz w Debianie 8 (Jessie) (zobacz informacje o pakiecie ), na dzień 26.09.2014 14:18 UTC.

Druga poprawka, wspomniana w komentarzach poniżej, znajduje się teraz również w repozytorium Jessie . Nie ma potrzeby instalacji z niestabilnej. Zobacz link do informacji o pakiecie powyżej.

Nie ma już potrzeby instalacji z niestabilnej.

Po prostu biegnij:

# aptitude update

śledzony przez:

# aptitude upgrade

Następnie sprawdź, czy luka zniknęła (w nowo otwartej powłoce):

$ x='() { :;}; echo vulnerable' bash
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'