Comment puis-je corriger la vulnérabilité de sécurité Shellshock dans les tests Debian / Jessie?

La commande de test

x='() { :;}; echo vulnerable' bash

montre que mon installation Debian 8 (Jessie) est vulnérable, même avec les dernières mises à jour. La recherche montre qu'il existe un correctif pour stable et instable, mais que les tests ne sont pas corrigés.

Je suppose que le patch sera testé dans quelques jours, mais cela semble assez méchant pour être paranoïaque. Existe-t-il un moyen d'obtenir le package de instable et de l'installer sans casser mon système? La mise à niveau vers instable semble entraîner plus de problèmes qu'elle n'en résout.

Selon Bob, il existe une deuxième vulnérabilité Shellshock, qui est corrigée dans un deuxième correctif. Le test est censé être:

 env X='() { (a)=>\' bash -c "echo echo vuln"; [[ "$(cat echo)" == "vuln" ]] && echo "still vulnerable :("

Mais je ne suis pas assez compétent en Bash pour comprendre ce que cela signifie ou pourquoi c'est un problème. En tout cas, il fait quelque chose de bizarre, ce qui est empêché par bash_4.3-9.2_amd64.deb sur les systèmes 64 bits, qui au moment de l'édition est stable et instable mais pas dans Jessie / testing.

Pour résoudre ce problème pour Jessie , obtenez le dernier Bash de instable et installez-le avec dpkg -i.

Offres Jemenake

wget http://ftp.debian.org/debian/pool/main/b/bash/bash_4.3-9.2_$(dpkg --print-architecture).deb

comme une commande qui obtiendra la version 4.3-9.2 pour votre machine.

Et vous pouvez suivre cela avec:

sudo dpkg -i bash_4.3-9.2_$(dpkg --print-architecture).deb

pour l'installer.

Si vous avez besoin d'autres correctifs d'instable pour votre système Jessie , c'est clairement la voie à suivre ( mutatis mutandis ).

Téléchargez le package d'instable via ce lien . Vous pouvez également y vérifier les dépendances, bien qu'il semble que le bash instable ait les mêmes dépendances que le bash du test. Installez le deb téléchargé avec ce qui suit.

dpkg -i

J'ai modifié cette réponse pour les correctifs bash supplémentaires qui ont été publiés lundi.

Pour Ubuntu 12.04, j'ai exécuté une mise à jour, mais j'ai également dû exécuter l'installation pour bash pour se débarrasser de la vulnérabilité.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test

Cette commande indique que le système est vulnérable, alors exécutez la mise à jour.

apt-get update && apt-get -y upgrade

Testez à nouveau.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test

Toujours vulnérable.

apt-get install -y bash

Testez à nouveau.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test

Modifier: après la publication des correctifs supplémentaires, la sortie a changé.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
this is a test

Yay! Fixé. Cela devrait fonctionner pour d'autres versions, mais je ne l'ai pas testé au-delà de 12.04.

De plus, la réponse de runamok ci-dessous fonctionne bien, alors donnez-lui une note positive!

Une alternative à Debian 6.0 (Squeeze) sans récupérer les paquets depuis Debian 7 (Wheezy):

Utilisez le référentiel de sécurité LTS sur lequel le correctif est rétroporté.

Ajoutez ceci à /etc/apt/sources.list:

#LTS security
deb http://http.debian.net/debian/ squeeze-lts main contrib non-free
deb-src http://http.debian.net/debian/ squeeze-lts main contrib non-free

Ensuite, courez apt-get update && apt-get install bash.

Via: linuxquestions

apt-get updateavant apt-get dist-upgradeet vous obtiendrez le patch. Je l'ai fait moi-même et une mise à niveau bash a été poussée, ce qui résout le problème.

Je l'ai corrigé sur mon Hackintosh par:

$ brew install bash

$ x='() { :;}; echo vulnerable' bash
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
bash-4.3$ 

J'ai écrit un article sur la façon de faire cela avec apt-get sur les anciennes versions d'Ubuntu. Vous mettez à jour votre source.list vers la plus récente, puis exécutez apt-get update et upgrade bash. Vous pouvez le lire étape par étape ou le copier ici .

Sommaire:

sudo sed -i 's/YOUR_OS_CODENAME/trusty/g' /etc/apt/sources.list
sudo apt-get update
sudo apt-get install --only-upgrade bash

Lisez l'article si vous utilisez old-releases.ubuntu.com et n'oubliez pas que vous voudrez peut-être le modifier à nouveau:

sudo sed -i 's/trusty/YOUR_OS_CODENAME/g' /etc/apt/sources.list

La version fixe (voir le changelog ) du paquet Bash est maintenant dans Debian 8 (Jessie) (voir les informations sur le paquet ), à partir du 2014-09-26 14:18 UTC.

Le deuxième correctif, mentionné dans les commentaires ci-dessous, se trouve également dans le référentiel Jessie maintenant. Il n'est pas nécessaire d'installer depuis instable. Voir le lien d'informations sur le package ci-dessus.

Il n'est plus nécessaire d'installer depuis instable.

Exécutez simplement:

# aptitude update

suivi par:

# aptitude upgrade

Vérifiez ensuite que la vulnérabilité a disparu (dans un shell récemment ouvert):

$ x='() { :;}; echo vulnerable' bash
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'