WDlinux官方论坛 - Powered by Discuz! Board

标题: [发布] Linux Bash严重漏洞修复紧急通知 [打印本页]

作者: admin 时间: 2014-9-26 10:22 标题: Linux Bash严重漏洞修复紧急通知

日前Linux官方内置Bash中新发现一个非常严重安全漏洞（漏洞参考https://access.redhat.com/security/cve/CVE-2014-6271  ），黑客可以利用该Bash漏洞完全控制目标系统并发起攻击，为了避免您Linux服务器受影响，建议您尽快完成漏洞修补，修复方法如下，请了解！

特别提醒：目前解决办法是Linux官方提供的解决办法，针对此漏洞Linux官方解决办法仍然有可能会被绕过，后续我们会提供较为彻底的解决办法。

【已确认被成功利用的软件及系统】
所有安装GNU bash 版本小于或者等于4.3的Linux操作系统。

【漏洞描述】
该漏洞源于你调用的bash shell之前创建的特殊的环境变量，这些变量可以包含代码，同时会被bash执行。

【漏洞检测方法】
漏洞检测命令：env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

修复前
输出:
vulnerable
this is a test

使用修补方案修复后
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test
特别提示：该修复不会有任何影响，如果您的脚本使用以上方式定义环境变量，修复后您的脚本执行会报错。

【建议修补方案】
请您根据Linux版本选择您需要修复的命令，为了防止意外情况发生，建议您执行命令前先对Linux服务器系统盘打个快照，如果万一出现升级影响您服务器使用情况，可以通过回滚系统盘快照解决。

centos:
yum -y update bash

ubuntu:
14.04 64bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.3-7ubuntu1.1_amd64.deb && dpkg -i bash_4.3-7ubuntu1.1_amd64.deb

14.04 32bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.3-7ubuntu1.1_i386.deb && dpkg -i  bash_4.3-7ubuntu1.1_i386.deb

12.04 64bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.2-2ubuntu2.2_amd64.deb && dpkg -i  bash_4.2-2ubuntu2.2_amd64.deb

12.04 32bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.2-2ubuntu2.2_i386.deb && dpkg -i  bash_4.2-2ubuntu2.2_i386.deb

10.10 64bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.1-2ubuntu3.1_amd64.deb && dpkg -i bash_4.1-2ubuntu3.1_amd64.deb

10.10 32bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.1-2ubuntu3.1_i386.deb && dpkg -i bash_4.1-2ubuntu3.1_i386.deb

debian:
7.5 64bit && 32bit
apt-get -y install --only-upgrade bash

6.0.x 64bit
wget http://mirrors.aliyun.com/debian/pool/main/b/bash/bash_4.1-3%2bdeb6u1_amd64.deb &&  dpkg -i bash_4.1-3+deb6u1_amd64.deb

6.0.x 32bit
wget http://mirrors.aliyun.com/debian/pool/main/b/bash/bash_4.1-3%2bdeb6u1_i386.deb &&  dpkg -i bash_4.1-3+deb6u1_i386.deb

opensuse:
13.1 64bit
wget http://mirrors.aliyun.com/fix_stuff/bash-4.2-68.4.1.x86_64.rpm && rpm -Uvh bash-4.2-68.4.1.x86_64.rpm

13.1 32bit
wget http://mirrors.aliyun.com/fix_stuff/bash-4.2-68.4.1.i586.rpm && rpm -Uvh bash-4.2-68.4.1.i586.rpm

aliyun linux:
5.x 64bit
wget http://mirrors.aliyun.com/centos/5/updates/x86_64/RPMS/bash-3.2-33.el5.1.x86_64.rpm && rpm -Uvh bash-3.2-33.el5.1.x86_64.rpm

5.x 32bit
wget http://mirrors.aliyun.com/centos/5/updates/i386/RPMS/bash-3.2-33.el5.1.i386.rpm && rpm -Uvh bash-3.2-33.el5.1.i386.rpm

作者: 不离不弃 时间: 2014-9-26 16:30

这个我修复过了。管理发布的还是很急时。

作者: hackhyj 时间: 2014-9-26 21:04

Linux php 技术交流 49442397

作者: samer 时间: 2014-9-26 23:52

修复得很及时，加油，支持。

作者: ithailong 时间: 2014-9-27 15:46

发布很及时，已经更新了，谢谢

作者: 旋风小子 时间: 2014-9-27 16:11

哈哈，这个也修复了

作者: 老大 时间: 2014-9-29 08:25

阿里云centos 6.5 64位
输入代码
yum -y update bash

提示：
Loaded plugins: security
Setting up Update Process
No Packages marked for Update
没有更新包，怎么办

作者: kideny 时间: 2014-9-29 09:58

第一时间就升级了，不知道后续会不会继续打补丁。

作者: luza 时间: 2014-9-29 12:25

没有对外开放用户SHELL的，就是除了ROOT没有其他用户的，也要升级吗？

作者: 老大 时间: 2014-9-29 16:38

在阿里云官方找到的。
centos

最终解决方案)
yum clean all
yum makecache
yum -y update bash

ubuntu

最终解决方案)
apt-get update
apt-get -y install --only-upgrade bash

debian

最终解决方案)
7.5  64bit && 32bit
apt-get update
apt-get -y install --only-upgrade bash

6.0.x 64bit
wget http://mirrors.aliyun.com/debian/pool/main/b/bash/bash_4.1-3+deb6u2_amd64.deb &&  dpkg -i bash_4.1-3+deb6u2_amd64.deb

6.0.x 32bit
wget http://mirrors.aliyun.com/debian/pool/main/b/bash/bash_4.1-3+deb6u2_i386.deb &&  dpkg -i bash_4.1-3+deb6u2_i386.deb

aliyun linux

最终解决方案)
5.x 64bit
wget http://mirrors.aliyun.com/centos/5/updates/x86_64/RPMS/bash-3.2-33.el5_10.4.x86_64.rpm && rpm -Uvh bash-3.2-33.el5_10.4.x86_64.rpm

5.x 32bit
wget http://mirrors.aliyun.com/centos/5/updates/i386/RPMS/bash-3.2-33.el5_10.4.i386.rpm  && rpm -Uvh bash-3.2-33.el5_10.4.i386.rpm

opensuse

最终解决方案)

zypper clean
zypper refresh
zypper update -y bash

作者: 老大 时间: 2014-9-29 20:56

本帖最后由老大于 2014-9-29 20:57 编辑

阿里云官方的
【漏洞描述】
该漏洞源于你调用的bash shell之前创建的特殊的环境变量，这些变量可以包含代码，同时会被bash执行。

【漏洞检测方法】
漏洞检测命令：env -i  X='() { (a)=>\' bash -c 'echo date'; cat echo

修复前
输出:
当前系统时间

使用修补方案修复后
输出
date
（备注：输出结果中见到"date"字样就修复成功了。）

特别提示：该修复不会有任何影响，如果您的脚本使用以上方式定义环境变量，修复后您的脚本执行会报错。

作者: fukegdlfm 时间: 2014-10-21 18:06

已经更新了

作者: danxin 时间: 2015-5-6 09:32

不错，谢谢更新没解决了大问题了

作者: adoniselohim 时间: 2016-2-14 16:44

我用CENTOS，输入修复命令提示如下：

[root@centos-1gb-sfo1-01 ~]# yum -y update bash
Loaded plugins: fastestmirror
Setting up Update Process
Loading mirror speeds from cached hostfile
* base: centos.mirrors.hoobly.com
* extras: centos.mirrors.hoobly.com
* rpmforge: mirror.hmc.edu
* updates: mirror.keystealth.org
No Packages marked for Update

但是我还不确定是否有修复过？

作者: metersbonwe 时间: 2016-11-5 09:38

修复得很及时~

作者: Miker 时间: 2016-11-16 14:40

75qw5e5qw5eqw

作者: 290696550 时间: 2016-11-23 10:30

修复一下修复一下

作者: a1044634486 时间: 2017-3-6 17:51

dingfdsafdsafads

作者: metersbonwe 时间: 2017-3-28 20:31

修复了~~~~~

欢迎光临 WDlinux官方论坛 (http://wdlinux.cn/bbs/)