Shellshock - обновляйте ваш bash, джентельмены

Shellshock — обновляйте ваш bash, джентельмены

Окт 1, 2014DmitryНовости

Последнее время были отмечены несколько серьезных уязвимостей популярных операционных систем. Достаточно вспомнить Heartbleed (уязвимость OpenSSL), которая затронула большинство систем, были опубликованы описания ошибок в сетевом стэке FreeBSD и возможности эскалации привилегий в определенных версиях ядра Linux. Сравнительно недавно появилось описание ошибки в популярной, можно сказать — стандартной в большинстве случаев оболочке bash. Эта уязвимость получила название Shellshock (CVE-2014-6271, CVE-2014-7169).

Вкратце об природе уязвимости: из-за ошибки интерпретатора возможно выполнение произвольного кода, описанного после кода пользовательской функции. Опасность данной ошибки в том, что произвольный код может быть передан множеством способов — в cookie, в заголовках http-запроса, в локальных переменных и так далее. Уязвимости подвержены все версии bash от 1.14 до 4.3, а в группу риска попадают не только традиционные вэб-серверы, но и множество устройств — домашние роутеры, принтсерверы и даже смартфоны.

Проверить уязвимость можно простой командой:

env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

1	env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

Если после выполнения команды будет выдан текст vulnerable, то используемая версия bash уязвима:

[root@vulnerable-server ~]# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test
[root@vulnerable-server ~]#

[root@vulnerable-server ~]# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

vulnerable

this is a test

[root@vulnerable-server ~]#

А в том случае, если результатом выполнения команд будет только надпись ‘this is a test’, ваша система уже обновлена и использует актуальную, исправленную версию bash:

[root@server ~]# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
this is a test
[root@server ~]#

[root@server ~]# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

this is a test

[root@server ~]#

Если после проверки оказалось, что на сервере используется устаревшая и уязвимая версия bash, следует ее незамедлительно обновить.

Debian, Ubuntu

Все современные версии Debian/Ubuntu могут быть легко обновлены с помощью пакетного менеджера apt-get. Выполните следующие команды для того, чтобы обновить bash:

apt-get update 
apt-get install --only-upgrade bash

1 2	apt-get update apt-get install --only-upgrade bash

Если используются устаревшие версии Debian или Ubuntu, то наиболее правильным способом будет обновить систему в целом. Обычно это делается с помощью команды do-release-upgrade. Будьте внимательны и сделайте резервные копии ваших данных и настроек, предупредите пользователей о предстоящих работах, а также изучите соответствующую документацию — обновление системы и используемого программного обеспечения может потребовать коррекции конфигурационных файлов, настроек CMS и так далее.

Centos, Fedora

Обновление версии bash в операционных системах семейства Red Hat Enterprise Linux производится с помощью yum:

yum update bash

1	yum update bash

FreeBSD

В качестве основной оболочки в FreeBSD используется tcsh, однако иногда дополнительно устанавливается bash — например, для работы определенных скриптов. В современных версиях FreeBSD обновление bash может быть выполнено с помощью пакетного менеджера pkg:

pkg upgrade bash

1	pkg upgrade bash

Если используется старая версия FreeBSD, где программное обеспечение устанавливается из /usr/ports, обновите дерево ports, а затем скомпилируйте и установите обновленную версию оболочки:

cd /usr/ports/shell/bash
make BATCH=yes build
make BATCH=yes deinstall
make BATCH=yes reinstall

cd /usr/ports/shell/bash

make BATCH=yes build

make BATCH=yes deinstall

make BATCH=yes reinstall

Дополнительно рекомендуем:

Tags: security

Shellshock - обновляйте ваш bash, джентельмены