Não é possível atualizar o Bash no Debian 6.0 (Squeeze)

Não consigo atualizar o Bash em um servidor Debian 6.0 (Squeeze) para se livrar da vulnerabilidade descoberta:

bash --version
GNU bash, version 4.1.5(1)-release (x86_64-pc-linux-gnu)

apt-get update
apt-get install bash
Reading package lists... Done
Building dependency tree
Reading state information... Done
bash is already the newest version.
0 upgraded, 0 newly installed, 0 to remove and 7 not upgraded.

Posso usar o Squeeze-LTS para este servidor apenas para atualizar o Bash? Depois de uma semana, estarei em outro servidor e não farei outras atualizações.

uname -m
x86_64

lsb_release -a
No LSB modules are available.
Distributor ID: Debian
Description:    Debian GNU/Linux 6.0.5 (squeeze)
Release:        6.0.5
Codename:       squeeze

Você deve usar o squeeze-ltsrepositório para continuar recebendo atualizações do Debian Squeeze

Para adicionar este repositório, edite /etc/apt/sources.liste adicione a linha

deb http://ftp.us.debian.org/debian squeeze-lts main non-free contrib

(você pode remover non-freee, contribse desejar)

Observe que, a partir deste instante, squeeze-ltsapenas o bash atualizado para o CVE-2014-6271 original, mas ainda não foi atualizado para corrigir o novo CVE-2014-7169 .

Para atualizar apenas o bash, depois de executar, apt-get updateuse o apt-get install bashinstall apenas bash, em vez de uma atualização completa.

Eu tive que adicionar repositórios LTS para atualizar o bash, que corrige a vulnerabilidade do Shellshock no Debian Squeeze. Espero que alguém ache isso útil:

Primeiro, verifique se sua caixa está vulnerável. Recorte / cole na sua linha de comando:

env x='() { :;}; echo "WARNING: SHELLSHOCK DETECTED"' \
bash --norc -c ':' 2>/dev/null;

Se você receber uma resposta como:

WARNING: SHELLSHOCK DETECTED

Como eu fiz no Squeeze, você tem a vulnerabilidade. Você precisará atualizar seus repositórios para a versão LTS para obter as atualizações, comentando suas linhas de repositórios atuais começando com 'deb' no seu arquivo /etc/apt/sources.list e adicionando-as:

deb http://http.debian.net/debian/ squeeze main contrib non-free
deb-src http://http.debian.net/debian/ squeeze main contrib non-free
deb http://security.debian.org/ squeeze/updates main contrib non-free
deb-src http://security.debian.org/ squeeze/updates main contrib non-free
deb http://http.debian.net/debian squeeze-lts main contrib non-free
deb-src http://http.debian.net/debian squeeze-lts main contrib non-free

Agora você deve atualizar seu cache local e instalar o bash atualizado (seus servidores estão lentos agora porque todo mundo está atualizando, basta puxar o bash por causa da largura de banda):

apt-get update && apt-get install --only-upgrade bash

Você pode fazer uma atualização completa do sistema posteriormente. Agora execute o script de verificação de vulnerabilidade acima e você não deverá obter nenhuma saída de texto, o que significa que você está corrigido :)

Eu já atualizei todos os sistemas Debian 6.0 (Squeeze) aos quais tenho acesso, para o Debian 7 (Wheezy), que surpreendentemente era praticamente indolor.

Se você não pode fazer isso, parece haver atualizações no Squeeze-LTS; possui uma cópia do Bash com a data de ontem, 4.1.3 + deb6u1.

O Debian 6.0 (Squeeze) não é mais suportado. Veja o Anúncio de Segurança Debian para as razões.

Se você quiser ter atualizações de segurança, precisará alterar sua sources.list. É isso que você precisa inserir:

cat /etc/apt/sources.list | grep lts

deb http://ftp2.de.debian.org/debian squeeze-lts contrib principal não-livre

deb-src http://ftp2.de.debian.org/debian squeeze-lts contrib principal não-livre

Isso funciona apenas para x86 e x64.

Então você tem que fazer o seguinte (citando o wiki):

Para pacotes binários, adicione esta linha:

deb http://http.debian.net/debian/ squeeze-lts main contrib non-free

Para pacotes de origem, adicione esta linha:

deb-src http://http.debian.net/debian/ squeeze-lts main contrib non-free

Obviamente, você pode decidir quais tipos de pacote você deseja incluir.

Veja isso para obter detalhes sobre a versão que você deve ter atualizado uma vez:

Rastreador de segurança Debian

Fonte: Wiki Debian