linux-bash漏洞及修复方法

反馈与建议 常见问题
1

9月25日，国外安全专家发现Linux系统中一个频繁使用的片段“Bash”存在漏洞，影响目前主流的Linux系统。利用该漏洞，黑客可以远程窃取服务器上的信息，并进一步控制服务器。该漏洞编号为CVE-2014-6271，主要存在于bash 1.14 - 4.3版本中，受影响的linux系统包括：Red Hat企业Linux (versions 4 ~7) 、Fedora distribution、CentOS (versions 5 ~7)、Ubuntu 10.04 LTS,12.04 LTS和14.04 LTS、Debian等。

“Bash”漏洞测试方法
env x=‘() { :;}; echo vulnerable’ bash -c “echo this is a test”
执行结果如下说明存在漏洞：
vulnerable
this is a test

解决方案为：
ubuntu
14.04 64bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.3-7ubuntu1.1_amd64.deb &&sudo dpkg -i bash_4.3-7ubuntu1.1_amd64.deb
14.04 32bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.3-7ubuntu1.1_i386.deb &&sudo dpkg -i bash_4.3-7ubuntu1.1_i386.deb
12.04 64bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.2-2ubuntu2.2_amd64.deb &&sudo dpkg -i bash_4.2-2ubuntu2.2_amd64.deb
12.04 32bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.2-2ubuntu2.2_i386.deb &&sudo dpkg -i bash_4.2-2ubuntu2.2_i386.deb

具体详情：http://open.taobao.com/support/announcement_detail.htm?id=24798

2

谁能解释下这个漏洞，按道理"echo vulnerable"这个命令不会被执行啊

3

ftp://ftp.gnu.org/gnu/bash/bash-3.1-patches/
这个网址的28号的最新升级包都没有解决问题呢？你这个不可能吧！
你说的那个测试命令已经不行了，被绕过了！有一个新命令可以检测的，具体命令我忘了，不过里面有“echo date ”这个字段。

4

同求解释解释，求科普

5

哦？是要安装补丁吗？

6

debian/ubuntu不会等出问题软件的官方补丁的（一般反应较慢），他们会及时地自己打补丁修复（24，2,5号就修复了）。

7

详解见：
http://code.csdn.net/news/2821897

8

原来是这样呀！那他们会把自己的补丁发给官网吗

9

en,讲得很清楚

10

一般都会，比如这次bash官方就是用的redhat贡献的补丁。

11

今天发现12.04的bash更新修复了CVE-2014-6271 和 CVE-2014-7169。