Como corrijo a vulnerabilidade de segurança do Shellshock no debian testing / jessie?

O comando de teste

x='() { :;}; echo vulnerable' bash

mostra que minha instalação do Debian 8 (Jessie) é vulnerável, mesmo com as atualizações mais recentes. A pesquisa mostra que há um patch para estável e instável, mas esse teste é sem patch.

Eu acho que o patch chegará aos testes em alguns dias, mas isso realmente parece desagradável o suficiente para ser paranóico. Existe alguma maneira de obter o pacote instável e instalá-lo sem interromper o meu sistema? A atualização para instável parece causar mais problemas do que resolve.

Segundo Bob, existe uma segunda vulnerabilidade do Shellshock, que é corrigida em um segundo patch. O teste para isso deve ser:

 env X='() { (a)=>\' bash -c "echo echo vuln"; [[ "$(cat echo)" == "vuln" ]] && echo "still vulnerable :("

Mas não tenho habilidade suficiente no Bash para descobrir o que isso significa ou por que é um problema. De qualquer forma, ele faz algo estranho, impedido pelo bash_4.3-9.2_amd64.deb em sistemas de 64 bits, que no momento da edição é estável e instável, mas não em Jessie / testing.

Para corrigir isso para Jessie , instale o Bash mais recente e instale-o dpkg -i.

Jemenake oferece

wget http://ftp.debian.org/debian/pool/main/b/bash/bash_4.3-9.2_$(dpkg --print-architecture).deb

como um comando que obterá a versão 4.3-9.2 para sua máquina.

E você pode acompanhar isso com:

sudo dpkg -i bash_4.3-9.2_$(dpkg --print-architecture).deb

para instalá-lo.

Se você precisar de mais patches instáveis ​​para o seu sistema Jessie , este é claramente o caminho a seguir ( mutatis mutandis ).

Baixe o pacote da instável através deste link . Você também pode verificar as dependências lá, embora pareça que o bash instável tem as mesmas dependências que o bash do teste. Instale o deb baixado com o seguinte.

dpkg -i

Editei esta resposta para as correções adicionais do bash lançadas na segunda-feira.

Para o Ubuntu 12.04, executei uma atualização, mas também tive que executar a instalação do bash para se livrar da vulnerabilidade.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test

Esse comando mostra que o sistema está vulnerável, portanto, execute a atualização.

apt-get update && apt-get -y upgrade

Teste novamente.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test

Ainda vulnerável.

apt-get install -y bash

Teste novamente.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test

Edit: Depois que os patches adicionais foram lançados, a saída foi alterada.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
this is a test

Yay! Fixo. Isso deve funcionar para outras versões, mas não testei além da versão 12.04.

Além disso, a resposta de runamok abaixo funciona bem, então dê a ele um voto positivo!

Uma alternativa para o Debian 6.0 (Squeeze) sem buscar pacotes do Debian 7 (Wheezy):

Use o repositório de segurança LTS que possui o patch suportado.

Adicione isto a /etc/apt/sources.list:

#LTS security
deb http://http.debian.net/debian/ squeeze-lts main contrib non-free
deb-src http://http.debian.net/debian/ squeeze-lts main contrib non-free

Então corra apt-get update && apt-get install bash.

Via: linuxquestions

apt-get updateantes apt-get dist-upgradee você receberá o patch. Acabei de fazer isso sozinho e houve uma atualização do bash que resolve o problema.

Corrigi-o no meu Hackintosh :

$ brew install bash

$ x='() { :;}; echo vulnerable' bash
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
bash-4.3$ 

Eu escrevi um artigo sobre como fazer isso com o apt-get em versões antigas do Ubuntu. Você basicamente atualiza seu sources.list para o mais novo e depois executa o apt-get update e upgrade bash. Você pode ler passo a passo ou copipaste a partir daqui .

Resumo:

sudo sed -i 's/YOUR_OS_CODENAME/trusty/g' /etc/apt/sources.list
sudo apt-get update
sudo apt-get install --only-upgrade bash

Leia o artigo se você usa old-releases.ubuntu.com e não se esqueça de que você pode querer alterá-lo novamente:

sudo sed -i 's/trusty/YOUR_OS_CODENAME/g' /etc/apt/sources.list

A versão fixa (consulte o changelog ) do pacote Bash está no Debian 8 (Jessie) agora (consulte as informações do pacote ), a partir de 26/09/2014 - 14:18 UTC.

A segunda correção, mencionada nos comentários abaixo, também está no repositório Jessie agora. Não há necessidade de instalar a partir do instável. Veja o link de informações do pacote acima.

Não é mais necessário instalar a partir do unstable.

Apenas corra:

# aptitude update

Seguido por:

# aptitude upgrade

Em seguida, verifique se a vulnerabilidade desapareceu (em um shell recém-aberto):

$ x='() { :;}; echo vulnerable' bash
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'