Исправление уязвимости shellshock для устаревших систем

[kiba]

так в squeeze версия bash 4.1-3, до сих пор уязвима. по-крайней мере отсюда все эксплоиты подтвердили уязвимость. надо из wheezy пакет ставить, версия >=4.2.37(1).

[TomskDiver]

Я для Squeeze подключил LTS репозитории, обновился и всё стало хорошо. Линк: wiki.debian.org/ru/LTS/Using

[Arik]

Меня одного смущает http как часть домена?

deb _http://http.debian.net/debian/ squeeze-lts main contrib non-free
deb-src _http://http.debian.net/debian/ squeeze-lts main contrib non-free

Очень часто приходилось после редакторов исправлять ссылки:

_http://http://example.com

Наверно поэтому смущает глаз такой URL

[Viliar]

Спасибо, действительно мой косяк, там должен быть именно wheezy или squeeze-lts. Исправил.

[Newbilius]

Наткнулся на рецепт для Debian Etch (да-да, и там есть жизнь).

[netnikogo]

github.com/pbkwee/deshellshock

[alkresin]

У меня на wheeze apt-get install говорит, что установлена последняя версия bash, хотя файл /bin/bash от 01.01.2013, и простейший тест
env X="() { :;} ; echo busted" bash -c "echo stuff" показывает, что уязвимость есть.

[sply]

нужно сначала обновить локальную базу пакетов через apt-get update

[navion]

А никто не задумывался о выпуске универсального бинарного патчера или хотя бы скрипта для автоматизации этих действий на всех затронутых системах?

[cruxacrux]

Было обсуждение на эту тему в рассылке oss-security, предложен простой однострочник, правда на всех платформах он не проверялся.

[xvilka]

Вот еще, в дополнение к однострочнику на perl от Solar Designer.

[vader666]

для старых версий Ubuntu 10.10, 11.04, 11.10 и Debian 5 просто поставил из исходников сделав скрипт:

mkdir src
cd src
wget http://ftp.gnu.org/gnu/bash/bash-4.3.tar.gz
#download all patches
for i in $(seq -f "%03g" 1 27); do wget http://ftp.gnu.org/gnu/bash/bash-4.3-patches/bash43-$i; done
tar zxvf bash-4.3.tar.gz 
cd bash-4.3
#apply all patches
for i in $(seq -f "%03g" 1 27);do patch -p0 < ../bash43-$i; done
#build and install
./configure --prefix=/ && make && make install
cd .. 
cd ..
rm -r src

Установка идет в /bin/bash что позволит при обновлении системы просто обновить bash до нормальной версии.

PS. Для тех у кого будет ругаться в Ubuntu на отсутствие patch или gcc просто в /etc/apt/sources.list надо указать old-releases.ubuntu.com

[RicoX]

Для FreeBSD веток 9.0 и старше:

portsnap fetch
portsnap extract

Затем перетягиваем /usr/bin/make из любой современной версии фри, иначе ничерта не соберется и будет ошибка, т.к. в современных портах используется чуть другая система компиляции.
Идем в /usr/ports/shells/bash и пробуем собрать через

make reinstall clean

Если ругнулось смотрим лог ругани, там скорее всего будет список что нужно дособрать и затем сконвертировать базу портов, после этого пересобирается нормально.

[makhomed]

Только совсем не понятно зачем для CentOS 5 собирать bash вручную из исходников.

Гораздо проще и удобнее просто обновить систему штатными средствами, через yum update

Обновления критических проблем безопасности RHEL5/CentOS5 будут выпускаться до 31 марта 2017 года.

Подробности: access.redhat.com/support/policy/updates/errata

[Viliar]

Да, безусловно, CentOS5 еще поддерживаемый. Он был выбран как платформа для компиляции в качестве примера. Плюс, у него используется старое ядро и скомпилированный на нем бинарник может подойти для каких-то сравнительно старых платформ, на которых нет компилятора и нужно брать бинарник со стороны.