@Viliar2 окт 2014 в 19:38

Исправление уязвимости shellshock для устаревших систем

4 мин

14K

Информационная безопасность *

+17

Комментарии 16

@kiba 3 окт 2014 в 00:28

так в squeeze версия bash 4.1-3, до сих пор уязвима. по-крайней мере отсюда все эксплоиты подтвердили уязвимость. надо из wheezy пакет ставить, версия >=4.2.37(1).

@TomskDiver 3 окт 2014 в 01:46

Я для Squeeze подключил LTS репозитории, обновился и всё стало хорошо. Линк: wiki.debian.org/ru/LTS/Using

@Arik 3 окт 2014 в 10:11

Меня одного смущает http как часть домена?

deb _http://http.debian.net/debian/ squeeze-lts main contrib non-free
deb-src _http://http.debian.net/debian/ squeeze-lts main contrib non-free

Очень часто приходилось после редакторов исправлять ссылки:

_http://http://example.com

Наверно поэтому смущает глаз такой URL

@Viliar 3 окт 2014 в 14:57

Спасибо, действительно мой косяк, там должен быть именно wheezy или squeeze-lts. Исправил.

@Newbilius 3 окт 2014 в 04:01

Наткнулся на рецепт для Debian Etch (да-да, и там есть жизнь).

@netnikogo 3 окт 2014 в 05:05

github.com/pbkwee/deshellshock

@alkresin 3 окт 2014 в 06:36

У меня на wheeze apt-get install говорит, что установлена последняя версия bash, хотя файл /bin/bash от 01.01.2013, и простейший тест
env X="() { :;} ; echo busted" bash -c "echo stuff" показывает, что уязвимость есть.

@sply 3 окт 2014 в 19:33

нужно сначала обновить локальную базу пакетов через apt-get update

НЛО прилетело и опубликовало эту надпись здесь

@navion 3 окт 2014 в 09:25

А никто не задумывался о выпуске универсального бинарного патчера или хотя бы скрипта для автоматизации этих действий на всех затронутых системах?

@cruxacrux 3 окт 2014 в 14:26

Было обсуждение на эту тему в рассылке oss-security, предложен простой однострочник, правда на всех платформах он не проверялся.

@xvilka 3 окт 2014 в 15:41

Вот еще, в дополнение к однострочнику на perl от Solar Designer.

@vader666 3 окт 2014 в 15:01

для старых версий Ubuntu 10.10, 11.04, 11.10 и Debian 5 просто поставил из исходников сделав скрипт:

mkdir src
cd src
wget http://ftp.gnu.org/gnu/bash/bash-4.3.tar.gz
#download all patches
for i in $(seq -f "%03g" 1 27); do wget http://ftp.gnu.org/gnu/bash/bash-4.3-patches/bash43-$i; done
tar zxvf bash-4.3.tar.gz 
cd bash-4.3
#apply all patches
for i in $(seq -f "%03g" 1 27);do patch -p0 < ../bash43-$i; done
#build and install
./configure --prefix=/ && make && make install
cd .. 
cd ..
rm -r src

Установка идет в /bin/bash что позволит при обновлении системы просто обновить bash до нормальной версии.

PS. Для тех у кого будет ругаться в Ubuntu на отсутствие patch или gcc просто в /etc/apt/sources.list надо указать old-releases.ubuntu.com

@RicoX 4 окт 2014 в 08:49

Для FreeBSD веток 9.0 и старше:

portsnap fetch
portsnap extract

Затем перетягиваем /usr/bin/make из любой современной версии фри, иначе ничерта не соберется и будет ошибка, т.к. в современных портах используется чуть другая система компиляции.
Идем в /usr/ports/shells/bash и пробуем собрать через

make reinstall clean

Если ругнулось смотрим лог ругани, там скорее всего будет список что нужно дособрать и затем сконвертировать базу портов, после этого пересобирается нормально.

@makhomed 4 окт 2014 в 14:47

Только совсем не понятно зачем для CentOS 5 собирать bash вручную из исходников.

Гораздо проще и удобнее просто обновить систему штатными средствами, через yum update

Обновления критических проблем безопасности RHEL5/CentOS5 будут выпускаться до 31 марта 2017 года.

Подробности: access.redhat.com/support/policy/updates/errata

@Viliar 6 окт 2014 в 06:29

Да, безусловно, CentOS5 еще поддерживаемый. Он был выбран как платформа для компиляции в качестве примера. Плюс, у него используется старое ядро и скомпилированный на нем бинарник может подойти для каких-то сравнительно старых платформ, на которых нет компилятора и нужно брать бинарник со стороны.

Зарегистрируйтесь на Хабре, чтобы оставить комментарий