| Author |
Message |
akbgf
Vana Pingviin
Joined: 07 Oct 2009
Posts: 763
Location: Tõravere
Distributsioon: OpenSUSE, Ubuntu
|
|
|
   |
mihkel
Vana Pingviin
Joined: 16 Apr 2006
Posts: 1284
Distributsioon: Fedora/Centos
|
|
Kontrollida saab nii:
env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
Kui tulemuseks on
vulnerable
this is a test
siis on exploiditav, kui aga
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test
siis peaks korras olema. Nii pajatab vähemalt internet.
Centos7-s tuli parandus eile, aga F20 veel pole.
Eriti oluline on uuendus neile masinatele, mis kuulavad nt. ssh teenust. Desktopis ruuteri taga tavaliselt ssh maailmale nähtav pole, aga uuendus tuleks siiski ära teha 
LISA
RIA ka oma hoiatusega väljas
https://kyberkirjutised.ria.ee/oluline-paik-susteemidele-milles-kasutusel-binbash/
|
|
|
|
Last edited by mihkel on 25.09.2014, 14:26; edited 1 time in total
|
|
|
 |
tris
Troll - ära toida!
Joined: 23 Aug 2014
Posts: 713
Distributsioon: Debian
|
|
|
_________________
ricochet:yckka6zlbxv767lz
|
|
|
|
ertserts
Vana Pingviin
Joined: 31 Oct 2013
Posts: 445
Location: Tallinn
Distributsioon: Ubuntu, Debian
|
|
Jah, tõesti nii ongi! 
Just proovisin ühte Ubuntu 14.04 LTS SSH teenusega serverit ja tulemuseks (alert!):
$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test
Pärast sudo apt-get update ja sudo apt-get upgrade uuendati ära paketimajandus:
The following packages have been kept back:
linux-generic linux-headers-generic linux-image-generic
The following packages will be upgraded:
apt apt-transport-https apt-utils bash dbus libapt-inst1.5 libapt-pkg4.12
libdbus-1-3
Uueks testi tulemuseks (ok):
$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test
|
|
|
|
_________________
ertserts@linuxialune:~$ echo;echo Local and Remote IP connections:;netstat -at|sort -k5|grep ESTABLISHED|cut -c20-80;echo
|
|
|
|
akbgf
Vana Pingviin
Joined: 07 Oct 2009
Posts: 763
Location: Tõravere
Distributsioon: OpenSUSE, Ubuntu
|
|
| mihkel wrote: | | kui aga
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test
siis peaks korras olema. |
Vist ei pruugi olla. Mul peale bashi parandust:
% env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test
Aga
% env X='() { (a)=>\' sh -c "echo date"
sh: X: line 1: syntax error near unexpected token `='
sh: X: line 1: `'
sh: error importing function definition for `X'
% cat echo
Thu Sep 25 15:44:15 GMT-2 2014
|
|
|
|
|
|
|
|
imre
Vana Pingviin
Joined: 16 Aug 2005
Posts: 2648
Location: Saku kant
Distributsioon: Ubuntu
|
|
|
_________________
Enne teema püstitamist kasutage OTSINGUT
Küsi targalt: Infot siit!
Kui aru ei saa, siis küsi.
|
|
|
|
illukas
Vana Pingviin
Age: 45
Joined: 24 Oct 2006
Posts: 2036
|
|
seda exploiti saab ssh puhul kasutada ainult siis kui sa oled juba sisse loginud- või olen ma millestki valesti aru saanud?
cgi-ga on muidugi kurvemad lood
|
|
|
|
_________________
https://www.inlink.ee
|
|
|
|
tris
Troll - ära toida!
Joined: 23 Aug 2014
Posts: 713
Distributsioon: Debian
|
|
Põhjalik lugu häkkeriuudistes:
http://thehackernews.com/2014/09/bash-shell-vulnerability-shellshock.html
osx. unix, linux - kõik serveri rakendused, mis kasutavad bashi.. nii sain aru.
(trisquelil täna ka bashi uuendus tehtud.)
VANA VIGA BASHIS ~20 aastat, mida programm lshell conf keelas:
## a list of forbidden character or commands
forbidden : [';', '&', '|','`','>','<', '$(', '${']
|
|
|
|
_________________
ricochet:yckka6zlbxv767lz
|
|
|
|
obundra
Vana Pingviin
Age: 51
Joined: 04 Aug 2005
Posts: 1213
Location: 127.0.0.1
Distributsioon: RHEL, Solaris, Debian, Gentoo
|
|
Äsja väljaantud patch ei aita lõplikult.Käsk testimiseks: | Code: | | env x='() { :;}; echo vulnerable' bash -c "echo this is a test" |
ei anna enam vastuseks "vulnerable", aga käsud: | Code: | | env -i X='() { (a)=>\' bash -c 'echo date';cat echo
env X="() { :;} ; echo shellshock" /bin/sh -c "echo completed"
env X="() { :;} ; echo shellshock" `which bash` -c "echo completed"
|
näitavad, et endiselt on auk olemas.
Info: https://www.youtube.com/watch?v=W7GaVyzkCs0 8:35 peal,
http://thehackernews.com/2014/09/bash-shell-vulnerability-shellshock.html
Veidi abi võib saada SELinuxist, https://danwalsh.livejournal.com/71122.html
E: Paistab, et nüüdseks on ka paranduse parandus väljas ja auk kinni, vähemalt mu hoole all olevad Debian, RHEL, CentOS ja Oracle Linux masinad järjekordse bashi uuenduse järel enam ei "leki"
|
|
|
|
_________________
IT teenused
Last edited by obundra on 26.09.2014, 13:57; edited 1 time in total
|
|
|
|
tris
Troll - ära toida!
Joined: 23 Aug 2014
Posts: 713
Distributsioon: Debian
|
|
|
_________________
ricochet:yckka6zlbxv767lz
|
|
|
|
obundra
Vana Pingviin
Age: 51
Joined: 04 Aug 2005
Posts: 1213
Location: 127.0.0.1
Distributsioon: RHEL, Solaris, Debian, Gentoo
|
|
| Sortsu patch võib ju üleval olla, repodesse tuleb valmis pakk alati viivitusega.
|
|
|
|
_________________
IT teenused
|
|
|
|
akbgf
Vana Pingviin
Joined: 07 Oct 2009
Posts: 763
Location: Tõravere
Distributsioon: OpenSUSE, Ubuntu
|
|
Nüüd on ka openSUSE-l parandus olemas.
% env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
this is a test
% env -i X='() { (a)=>\' bash -c 'echo date';cat echo
date
cat: echo: No such file or directory
% env X="() { :;} ; echo shellshock" /bin/sh -c "echo completed"
completed
% env X="() { :;} ; echo shellshock" `which bash` -c "echo completed"
completed
% bash --version
GNU bash, version 4.2.47(1)-release (x86_64-suse-linux-gnu),
aga Yast ütleb, et Version: 4.2-68.8.1.
|
|
|
|
|
|
|
|
urmas
Pingviini kasutaja
Age: 47
Joined: 25 Jul 2006
Posts: 92
Location: Tartu
Distributsioon: Gentoo
|
|
|
|
|
|
