Критическая уязвимость в bash, которая может привести к удалённому запуску команд (CVE-2014-6271)- Сети и их администрирование

Гость

0 - 24.09.2014 - 22:05

Цитата:

В командном интерпретаторе Bash выявлена опасная уязвимость (CVE-2014-6271), позволяющая организовать выполнение кода в контексте другого сеанса bash. Проблема вызвана недоработкой в организации экспорта переменных окружения и shell-функций в другие экземпляры bash, что приводит к выполнению блоков кода из специально оформленных переменных окружения, полученных от других процессов.

Во многих типовых конфигурация уязвимость может быть эксплуатирована по сети, если bash вызывается в качестве shell-интерпретатора. Потенциально может быть атаковано любое приложение которые запускает bash или скрипты на bash с установкой переменных окружения на основе внешних данных (манипуляция с подобными suid-программами может привести к повышению привилегий в системе). В том числе могут быть атакованы CGI-скрипты (написанные на bash или в которых вызывается bash), bash-прослойка для FastCGI, dhclient, CUPS и конфигурации OpenSSH.

отсюда

ЗЫ: Полностью не вставляется из-за фильтра форума =)

Гость

1 - 25.09.2014 - 08:02

это конечно песец, ну убунтах и проч уже заплатки есть, а на IDECO или Kerio bash или busybox? Если первый то будет весело.

Гость

2 - 25.09.2014 - 09:29

заплатки? щаззз, нашли ещё одну дыру, даже после установки последних патчей =)
Найден способ обхода патча, устраняющего уязвимость в bash

Гость

3 - 25.09.2014 - 15:23

жарим семечки и ждем.

Гость

4 - 27.09.2014 - 19:44

22 года....мдя....

Гость

5 - 27.09.2014 - 21:07

и да, спасибо за ссыли и инфу, был в запарах пропустил новость (((

Гость

6 - 29.09.2014 - 11:09

Для тех, кто хочет проверить, всё ли в порядке с его башем подготовлен скрипт

У меня вот CVE-2014-7186 до сих пор срабатывает :(

Гость

7 - 29.09.2014 - 14:13

Цитата:

Сообщение от droidman

CVE-2014-7186 до сих пор срабатывает

не везде , но красношапочники вроде написали что это не так страшно как первыйй, т.к. маловероятно эксплуатировать удалено

Гость

8 - 29.09.2014 - 14:29

debian-based

Цитата:

Not vulnerable to CVE-2014-6271 (original shellshock)
Not vulnerable to CVE-2014-7169 (taviso bug)
Not vulnerable to CVE-2014-7186 (redir_stack bug)
Test for CVE-2014-7187 not reliable without address sanitizer
Variable function parser inactive, likely safe from unknown parser bugs

centos

Цитата:

gentoo-based дома я её на выхи emerge-м новил, вроде норм было...

Гость

9 - 29.09.2014 - 14:36

а прикол был на фряхе на одной баш сегодня нашелся древней, уже не новится попакетно не поддерживается, просто снес его, зачем туда баш сунули , если шелл все равно там у всех csh не понятно )))

Гость

10 - 29.09.2014 - 14:40

Цитата:

Сообщение от 701054

вроде написали что это не так страшно как первый

или то про 7169 я в них запутался

Гость

11 - 29.09.2014 - 14:43

бсдшники ваще отрубили функции через переменные окружения, да и баш там ставить надо специально =)

хз, но даже на GNU bash, version 4.2.50(1)-release (x86_64-pc-linux-gnu) в генту (он кстати в замаскирован как нестабильный) у меня CVE-2014-7186 сегфолт вызывает :(

Гость

12 - 29.09.2014 - 22:15

Цитата:

bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
Not vulnerable to CVE-2014-6271 (original shellshock)
Not vulnerable to CVE-2014-7169 (taviso bug)
Not vulnerable to CVE-2014-7186 (redir_stack bug)
Test for CVE-2014-7187 not reliable without address sanitizer
Variable function parser still active, likely vulnerable to yet unknown parser bugs like CVE-2014-6277 (lcamtuf bug)

Linux pcnb.local 3.12.0-sabayon #1 SMP Mon Aug 4 03:54:00 UTC 2014 i686 Intel(R) Core(TM)2 Duo CPU P8400 @ 2.26GHz GenuineIntel GNU/Linux
все никак не переставлю онипрекратили поддержку i686
CVE-2014-6277 ....GNU bash, version 4.2.48(1)-release (i686-pc-linux-gnu) у меня постарше,я не заморачивался с маскироваными....все равно скоро переставлять...все руки не дойдут....

а насче фри там бился original shellshock, ну я его снес и все он там не нужен просто когда-то видно накатили зачем-то

Критическая уязвимость в bash, которая может привести к удалённому запуску команд (CVE-2014-6271)

Интернет-форум Краснодарского края и Краснодараг. Краснодар, Краснодарский край 2022г.

Интернет-форум Краснодарского края и Краснодара
г. Краснодар, Краснодарский край 2022г.