¿Cómo soluciono la vulnerabilidad de seguridad de Shellshock en debian testing / jessie?

El comando de prueba

x='() { :;}; echo vulnerable' bash

muestra que mi instalación de Debian 8 (Jessie) es vulnerable, incluso con las últimas actualizaciones. La investigación muestra que hay un parche para estable e inestable, pero que las pruebas no tienen parches.

Supongo que el parche llegará a prueba en un par de días, pero en realidad esto parece lo suficientemente desagradable como para ser paranoico. ¿Hay alguna forma de obtener el paquete de inestable e instalarlo sin romper mi sistema? Parece que actualizar a inestable causará más problemas de los que resuelve.

Según Bob, hay una segunda vulnerabilidad de Shellshock, que se corrige en un segundo parche. Se supone que la prueba es:

 env X='() { (a)=>\' bash -c "echo echo vuln"; [[ "$(cat echo)" == "vuln" ]] && echo "still vulnerable :("

Pero no tengo la habilidad suficiente en Bash para entender qué significa esto o por qué es un problema. En cualquier caso, hace algo extraño, que se impide mediante bash_4.3-9.2_amd64.deb en sistemas de 64 bits, que en el momento de la edición es estable e inestable, pero no en Jessie / testing.

Para arreglar esto para Jessie , obtenga el último Bash de inestable e instálelo con dpkg -i.

Jemenake ofrece

wget http://ftp.debian.org/debian/pool/main/b/bash/bash_4.3-9.2_$(dpkg --print-architecture).deb

como un comando que obtendrá la versión 4.3-9.2 para su máquina.

Y puedes seguir eso con:

sudo dpkg -i bash_4.3-9.2_$(dpkg --print-architecture).deb

para instalarlo

Si necesita más parches inestables para su sistema Jessie , este es claramente el camino a seguir ( mutatis mutandis ).

Descargue el paquete desde inestable a través de este enlace . También puede verificar las dependencias allí, aunque parece que el bash inestable tiene las mismas dependencias que el bash de las pruebas. Instale el deb descargado con lo siguiente.

dpkg -i

Edité esta respuesta para las correcciones de bash adicionales que se lanzaron el lunes.

Para Ubuntu 12.04, ejecuté una actualización, pero también tuve que ejecutar la instalación de bash para eliminar la vulnerabilidad.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test

Ese comando muestra que el sistema es vulnerable, así que ejecute la actualización.

apt-get update && apt-get -y upgrade

Prueba de nuevo.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test

Aún vulnerable.

apt-get install -y bash

Prueba de nuevo.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test

Editar: después de que se lanzaron los parches adicionales, la salida ha cambiado.

root@host:/home/ubuntu# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
this is a test

¡Hurra! Fijo. Esto debería funcionar para otras versiones, pero no lo he probado más allá de 12.04.

Además, la respuesta de runamok a continuación funciona bien, ¡así que dale un voto positivo!

Una alternativa para Debian 6.0 (Squeeze) sin obtener paquetes de Debian 7 (Wheezy):

Use el repositorio de seguridad LTS que tiene el parche respaldado.

Agregue esto a /etc/apt/sources.list:

#LTS security
deb http://http.debian.net/debian/ squeeze-lts main contrib non-free
deb-src http://http.debian.net/debian/ squeeze-lts main contrib non-free

Entonces corre apt-get update && apt-get install bash.

Vía: linuxquestions

apt-get updateantes apt-get dist-upgradey obtendrás el parche. Simplemente lo hice yo mismo y hubo una actualización de bash que solucionó el problema.

Lo arreglé en mi Hackintosh :

$ brew install bash

$ x='() { :;}; echo vulnerable' bash
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
bash-4.3$ 

He escrito un artículo sobre cómo hacer esto con apt-get en versiones antiguas de Ubuntu. Básicamente actualiza su sources.list a la más nueva y luego ejecuta apt-get update y upgrade bash. Puede leerlo paso a paso o copiarlo desde aquí .

Resumen:

sudo sed -i 's/YOUR_OS_CODENAME/trusty/g' /etc/apt/sources.list
sudo apt-get update
sudo apt-get install --only-upgrade bash

Lea el artículo si usa old-releases.ubuntu.com y no olvide que es posible que desee volver a cambiarlo:

sudo sed -i 's/trusty/YOUR_OS_CODENAME/g' /etc/apt/sources.list

La versión fija (vea el registro de cambios ) para el paquete Bash está en Debian 8 (Jessie) ahora (vea la información del paquete ), a partir del 26/09/2014 14:18 UTC.

La segunda solución, mencionada en los comentarios a continuación, también está en Jessie repositorio de . No hay necesidad de instalar desde inestable. Vea el enlace de información del paquete arriba.

Ya no hay necesidad de instalar desde inestable.

Solo corre:

# aptitude update

seguido por:

# aptitude upgrade

Luego verifique que la vulnerabilidad haya desaparecido (en un shell recién abierto):

$ x='() { :;}; echo vulnerable' bash
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'