Je voudrais savoir comment appliquer le correctif de cette vulnérabilité sur cygwin.
Je courais le CYGWIN_NT-6.1 MYHOSTNAME 1.7.30(0.272/5/3) 2014-05-23 10:36 x86_64 Cygwinde Cygwin sur Windows 7.
#bash -version
GNU bash, version 4.1.11(2)-release (x86_64-unknown-cygwin)
Copyright (C) 2009 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html>
$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a testJ'ai essayé apt-cyg mais il n'a rien mis à jour:
$ apt-cyg update bash
apt-cyg update bash
Working directory is /setup
Mirror is http://mirrors.kernel.org/sourceware/cygwin
--2014-09-25 09:24:14-- http://mirrors.kernel.org/sourceware/cygwin/x86_64/setup.bz2
Resolving mirrors.kernel.org (mirrors.kernel.org)... 149.20.4.71, 149.20.20.135, 2001:4f8:1:10:0:1994:3:14, ...
Connecting to mirrors.kernel.org (mirrors.kernel.org)|149.20.4.71|:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 431820 (422K) [application/x-bzip2]
Saving to: ‘setup.bz2’
100% [======================================================================================>] 431,820 898KB/s in 0.5s
2014-09-25 09:24:14 (898 KB/s) - ‘setup.bz2’ saved [431820/431820]
Updated setup.inilorsque vous essayez de réinstaller en exécutant setup-x86_64.exeet en passant par l'assistant de réinstallation bash qui s'affiche sous le shell, il semble que vous commenciez à tout télécharger. La mise à jour devrait être très rapide, mais le téléchargement commence pendant plus de 15 minutes, puis je l'ai annulée. J'ai regardé autour du https://cygwin.comsite et des autres forums mais jusqu'à présent, aucune mise à jour spécifique pour cette vulnérabilité.
C:\Cygwin64\Downloads` but notC: \ Cygwin64`Réponses:
Selon la page d'installation officielle de Cygwin :
J'ai eu une intuition à laquelle ce bash a été affecté, donc environ 15 minutes avant de poster votre question, je l'ai fait comme indiqué sur la page de configuration.
Aucun script tiers n'est nécessaire. Je crois que le processus est allé différent pour moi parce que je n'avais pas nettoyé mon répertoire de téléchargement à l'
C:\Cygwin64\Downloadsutilitaire d'installation J'ai analysé mes packages actuellement installés et j'ai laissé les paramètres par défaut seuls. Ainsi, tous les packages du système de base ont été mis à jour. L'un d'entre eux se trouvait être le coup bas qui est affecté par le CVE-2014-6271. Vous pouvez voir la preuve que vous êtes protégé par la capture d'écran suivante:Veuillez noter que je ne sais pas si cette mise à jour protège contre les autres vulnérabilités qui ont été découvertes, veuillez donc suivre la procédure ci-dessus les prochains jours jusqu'à ce que ce problème soit complètement résolu.
la source
Cela ressemble à la version qui a corrigé shellshock (sous réserve d'autres variations / correctifs de bogues.) Pour cygwin bash:
Date: lun.29 sept. 2014 15:22:43 -0600
https://cygwin.com/ml/cygwin-announce/2014-09/msg00040.html
Alias: 4.1.14-7
"Il s'agit d'une reconstruction mineure qui récupère un correctif en amont pour corriger CVE-2014-7169 et toutes les autres attaques ShellShock (4.1.13-6 était également sûr, mais utilisait un correctif en aval légèrement différent qui utilisait '()' au lieu de ' %% 'dans les variables d'environnement, et qui était trop restrictif sur l'importation de fonctions dont le nom n'était pas un identifiant). Il existe encore des crashs d'analyseurs connus (tels que CVE-2014-7186, CVE-2014-7187 et CVE-2014-6277 ) où l'amont émettra probablement des correctifs bientôt; mais bien que ces problèmes puissent déclencher un crash local, ils ne peuvent pas être exploités pour une escalade de privilèges via le contenu de variables arbitraires par cette construction. Sans correction, une version vulnérable de bash pourrait permettre l'exécution de code arbitraire via spécialement variables d'environnement conçues et était exploitable à travers un certain nombre de services à distance,il est donc fortement recommandé de mettre à niveau ... "
J'ai également dû supprimer mon répertoire de téléchargement cygwin avant de pouvoir extraire une version plus récente de bash via setup-x86_64.exe. :( Alors vérifiez avec "bash --version" pour confirmer votre niveau de patch.
Cependant, nous ne sommes peut-être pas encore sortis du bois ...
REF: http://www.zdnet.com/the-shellshock-faq-heres-what-you-need-to-know-7000034219/
"CVE-2014-6277 & CVE-2014-6278: les chercheurs en sécurité ont découvert deux bogues supplémentaires. Ces deux bogues sont censés avoir le potentiel d'injection de commande arbitraire, similaire au bogue Bash d'origine. Cependant, les détails n'ont pas encore été rendus publics, afin de permettre la création de correctifs appropriés. "
CVE-2014-6277
Date de sortie initiale: 27/09/2014
CVE-2014-6278
Date de sortie initiale: 30/09/2014
Soupir. Il semble que nous devons garder un œil attentif et continuer à patcher BASH un peu plus longtemps. Cependant, vous êtes probablement beaucoup mieux à (et après) bash 4.1.14-7 sous cygwin.
J'espère que cela pourra aider.
la source