ฉันจะแก้ไขความเสี่ยงด้านความปลอดภัยของ Shellshock ในการทดสอบ / เดเบียนได้อย่างไร

คำสั่งทดสอบ

x='() { :;}; echo vulnerable' bash

แสดงให้เห็นว่าการติดตั้งDebian 8 (Jessie) ของฉันมีความเสี่ยงแม้จะมีการปรับปรุงล่าสุด การวิจัยแสดงให้เห็นว่ามีแพทช์สำหรับความเสถียรและไม่เสถียร แต่การทดสอบนั้นไม่ได้รับการแก้ไข

ฉันคิดว่าแพตช์จะทำการทดสอบในสองสามวัน แต่จริง ๆ แล้วมันดูน่ารังเกียจพอที่จะหวาดระแวงเกี่ยวกับ มีวิธีใดบ้างที่จะทำให้แพ็คเกจไม่เสถียรและติดตั้งโดยไม่ทำให้ระบบเสียหาย? การอัปเกรดเป็นแบบไม่เสถียรดูเหมือนจะทำให้เกิดปัญหามากกว่าที่จะแก้ได้

จากข้อมูลของ Bob มีช่องโหว่ของ Shellshock ที่สองซึ่งได้รับการแก้ไขในแพ็ตช์ที่สอง การทดสอบมันควรจะเป็น:

 env X='() { (a)=>\' bash -c "echo echo vuln"; [[ "$(cat echo)" == "vuln" ]] && echo "still vulnerable :("

แต่ฉันไม่มีทักษะเพียงพอในการทุบตีเพื่อหาว่ามันหมายถึงอะไรหรือทำไมมันเป็นปัญหา ไม่ว่าจะทำอะไรแปลก ๆ ซึ่งถูกป้องกันโดย bash_4.3-9.2_amd64.deb บนระบบ 64 บิตซึ่งในช่วงเวลาของการแก้ไขนั้นเสถียรและไม่เสถียร แต่ไม่ใช่ในการทดสอบของJessie

เพื่อแก้ไขปัญหานี้สำหรับเจสซีdpkg -iได้รับล่าสุดจากการทุบตีไม่เสถียรและติดตั้งด้วย

Jemenake เสนอ

wget http://ftp.debian.org/debian/pool/main/b/bash/bash_4.3-9.2_$(dpkg --print-architecture).deb

เป็นคำสั่งที่จะได้รับเวอร์ชั่น 4.3-9.2 สำหรับเครื่องของคุณ

และคุณสามารถติดตามได้ด้วย:

sudo dpkg -i bash_4.3-9.2_$(dpkg --print-architecture).deb

เพื่อติดตั้ง

หากคุณต้องการแพตช์เพิ่มเติมจากระบบที่ไม่เสถียรสำหรับเจสซีของคุณนี่เป็นวิธีการที่ชัดเจน ( โดยอนุโลม )

ดาวน์โหลดแพ็กเกจไม่เสถียรผ่านลิงก์นี้ คุณสามารถตรวจสอบการอ้างอิงที่นั่นได้เช่นกันแม้ว่าดูเหมือนว่าการทุบตีที่ไม่เสถียรจะมีการขึ้นต่อกันเหมือนกับการทุบตีจากการทดสอบ ติดตั้ง deb ที่ดาวน์โหลดมาด้วยรายการต่อไปนี้

dpkg -i

ฉันได้แก้ไขคำตอบนี้สำหรับการแก้ไขทุบตีเพิ่มเติมที่เปิดตัวในวันจันทร์

สำหรับ Ubuntu 12.04 ฉันได้ทำการอัพเดท แต่ก็ต้องทำการติดตั้งเพื่อทุบตีเพื่อกำจัดช่องโหว่

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test

คำสั่งนั้นแสดงให้เห็นว่าระบบมีความเสี่ยงดังนั้นให้ทำการอัพเดท

apt-get update && apt-get -y upgrade

ทดสอบอีกครั้ง

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test

ยังคงมีช่องโหว่

apt-get install -y bash

ทดสอบอีกครั้ง

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test

แก้ไข: หลังจากปล่อยแพตช์เพิ่มเติมออกมีการเปลี่ยนแปลง

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
this is a test

เย้! คงที่ สิ่งนี้ควรใช้ได้กับรุ่นอื่น แต่ฉันไม่ได้ทดสอบเกิน 12.04

นอกจากนี้คำตอบของ runamok ด้านล่างใช้งานได้ดีดังนั้นให้เขาโหวตขึ้น!

ทางเลือกสำหรับ Debian 6.0 (Squeeze) โดยไม่ต้องดึงแพ็คเกจจาก Debian 7 (Wheezy):

ใช้ที่เก็บข้อมูลการรักษาความปลอดภัย LTS ที่มีแพทช์ backported

เพิ่มไปที่/etc/apt/sources.list:

#LTS security
deb http://http.debian.net/debian/ squeeze-lts main contrib non-free
deb-src http://http.debian.net/debian/ squeeze-lts main contrib non-free

apt-get update && apt-get install bashจากนั้นเรียก

Via: linuxquestions

apt-get updateก่อนapt-get dist-upgradeและคุณจะได้รับแพทช์ เพิ่งทำด้วยตัวเองและมีการอัพเกรดทุบตีซึ่งผลักดันการแก้ไขปัญหา

ฉันแก้ไขมันในHackintoshของฉันโดย:

$ brew install bash

$ x='() { :;}; echo vulnerable' bash
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
bash-4.3$ 

ฉันได้เขียนบทความเกี่ยวกับวิธีการทำเช่นนี้กับ apt-get บน Ubuntu รุ่นเก่า โดยทั่วไปคุณอัปเดตซอร์สรายการของคุณเป็นรุ่นล่าสุดจากนั้นเรียกใช้ apt-get update และอัปเกรด bash คุณสามารถอ่านได้ก้าวสำหรับขั้นตอนหรือ CopyPaste ได้จากที่นี่

สรุป:

sudo sed -i 's/YOUR_OS_CODENAME/trusty/g' /etc/apt/sources.list
sudo apt-get update
sudo apt-get install --only-upgrade bash

อ่านบทความหากคุณใช้ old-releases.ubuntu.com และอย่าลืมว่าคุณอาจต้องการเปลี่ยนกลับ:

sudo sed -i 's/trusty/YOUR_OS_CODENAME/g' /etc/apt/sources.list

เวอร์ชันคงที่ (ดูการเปลี่ยนแปลง ) สำหรับแพ็คเกจ Bash อยู่ใน Debian 8 (Jessie) ตอนนี้ (ดูข้อมูลแพ็คเกจ ) ตั้งแต่ 2014-09-26 14:18 UTC

การแก้ไขที่สองที่กล่าวถึงในความคิดเห็นด้านล่างยังอยู่ในพื้นที่เก็บข้อมูลของเจสซีในขณะนี้ ไม่จำเป็นต้องติดตั้งจากไม่เสถียร ดูลิงค์ข้อมูลแพ็คเกจด้านบน

ไม่จำเป็นต้องติดตั้งไม่เสถียรอีกต่อไป

เพิ่งรัน:

# aptitude update

ติดตามโดย:

# aptitude upgrade

จากนั้นตรวจสอบว่าช่องโหว่หายไป (ในเชลล์ที่เพิ่งเปิดใหม่):

$ x='() { :;}; echo vulnerable' bash
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'