Wie behebe ich die Shellshock-Sicherheitsanfälligkeit in Debian Testing / Jessie?

Ich habe diese Antwort für die zusätzlichen Bash-Korrekturen bearbeitet, die am Montag veröffentlicht wurden.

Für Ubuntu 12.04 habe ich ein Update ausgeführt, musste aber auch die Installation für bash ausführen, um die Sicherheitsanfälligkeit zu beseitigen.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test" vulnerable this is a test 

Dieser Befehl zeigt an, dass das System anfällig ist. Führen Sie das Update aus.

apt-get update && apt-get -y upgrade 

Nochmal testen.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test" vulnerable this is a test 

Immer noch anfällig.

apt-get install -y bash 

Nochmal testen.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test" bash: warning: x: ignoring function definition attempt bash: error importing function definition for `x' this is a test 

Bearbeiten: Nachdem die zusätzlichen Patches veröffentlicht wurden, hat sich die Ausgabe geändert.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test" this is a test 

Yay! Fest. Dies sollte für andere Versionen funktionieren, aber ich habe es nicht über 12.04 hinaus getestet.

Runamoks Antwort unten funktioniert ebenfalls gut, also geben Sie ihm eine positive Bewertung!

Eine Alternative zu Debian 6.0 (Squeeze), ohne Pakete von Debian 7 (Wheezy) abzurufen:

Verwenden Sie das LTS-Sicherheitsrepository, für das der Patch zurückportiert wurde.

Fügen Sie dies zu /etc/apt/sources.list:

#LTS security deb http://http.debian.net/debian/ squeeze-lts main contrib non-free deb-src http://http.debian.net/debian/ squeeze-lts main contrib non-free 

Dann laufen apt-get update && apt-get install bash.

Via: Linuxfragen

Laden Sie das Paket von Unstable über diesen Link herunter . Sie können die Abhängigkeiten auch dort überprüfen, obwohl es so aussieht, als ob die instabile Bash die gleichen Abhängigkeiten hat wie die Bash vom Testen. Installieren Sie das heruntergeladene Deb mit den folgenden Anweisungen.

dpkg -i 

apt-get updatevorher apt-get dist-upgradeund du bekommst den patch. Ich habe es einfach selbst gemacht und es wurde ein Bash-Upgrade durchgeführt, das das Problem behebt.

Ich habe es auf meinem Hackintosh behoben durch:

$ brew install bash

$ x='() { :;}; echo vulnerable' bash bash: warning: x: ignoring function definition attempt bash: error importing function definition for `x' bash-4.3$  

Ich habe einen Artikel darüber geschrieben, wie man dies mit apt-get unter älteren Ubuntu-Versionen macht. Sie aktualisieren grundsätzlich Ihre sources.list auf den neuesten Stand und führen dann apt-get update und ein Upgrade von bash aus. Sie können es Schritt für Schritt lesen oder von hier aus einfügen .

Zusammenfassung:

sudo sed -i 's/YOUR_OS_CODENAME/trusty/g' /etc/apt/sources.list sudo apt-get update sudo apt-get install --only-upgrade bash 

Lesen Sie den Artikel, wenn Sie old-releases.ubuntu.com verwenden und vergessen Sie nicht, dass Sie es möglicherweise zurückändern möchten:

sudo sed -i 's/trusty/YOUR_OS_CODENAME/g' /etc/apt/sources.list 

Die feste Version (siehe Changelog ) für das Bash-Paket befindet sich jetzt in Debian 8 (Jessie) (siehe Paketinformationen ), Stand 2014-09-26 14:18 UTC.

Das zweite Update, das in den folgenden Kommentaren erwähnt wird, befindet sich jetzt auch im Jessie- Repository. Es ist keine Installation von instabil erforderlich. Siehe den Paketinformationslink oben.

Es ist nicht mehr nötig, von Unstable zu installieren.

Renn einfach:

# aptitude update 

gefolgt von:

# aptitude upgrade 

Stellen Sie dann sicher, dass die Sicherheitsanfälligkeit beseitigt ist (in einer neu geöffneten Shell):

$ x='() { :;}; echo vulnerable' bash bash: warning: x: ignoring function definition attempt bash: error importing function definition for `x'