小白软件站是国内较新、较齐、较安全的专业软件下载网站!
  • 软件专题
  • 最新软件
  • 软件分类
  • 软件发布

关于Linux主机bash安全漏洞的修复

文章类别:编程开发,发布日期:2021年7月26日,点击次数:46

 

centos修复 yum -y update bash

尊重的用户,你好!
 
2014年09月24日 Redhat官方安全博客颁布了bash存在命令注入的安全破绽,攻打者通过借助把持环境变量的方法,到达履行任意存在履行权限指令的目标。破绽影响当前主流的各大发行Linux系统,包含CentOS、Redhat、Ubuntu等。假如你的操作系统应用的是以上系统,则很可能存在安全隐患,倡议及时修复。以下是对于此破绽的相干信息以及修复方式。
 

安全布告:GNU Bash 破绽布告 (CVE-2014-6271, CVE-2014-7169)

破绽描写:

CVE-2014-6271:

攻打者可结构特别的环境变量值,以在这些环境变量的值中包括特定的代码,当 Shell 对这些环境变量求值时,这些特定的代码将得以在系统中履行。某些服务跟应用接收未经身份者供给的环境变量,因而攻打者可应用此破绽源于在供给这些服务跟应用的系统上履行任意的 Shell 命令。

CVE-2014-7169:

因 GNU Bash 允许在环境变量的值中的函数定义,及在函数定义后参加额定的字符串,攻打者可应用此特征在远程写入文件或履行其余能够影响到系统的操作。

以上两破绽可能会影响到应用 ForceCommand 功能的 OpenSSH sshd; 应用 mod_cgi 或 mod_cgid 的 Apache 服务器; 调用 Shell 配置系统的 DHCP 客户端; 及其余应用 bash 作为说明器的应用等。

注:
1) CVE-2014-7169 的存在是因 CVE-2014-6271 的 Patch 不完全。
2) 对于以上两破绽的更多概况请见参考链接 [1], [2], [3]

问题诊断:

如何判断当前 bash 版本能否有破绽

$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

若输出以下内容

vulnerable
this is a test

则证实系统当前的 Bash 版本存在破绽。

若输出如下

$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test

则证实当前的 Bash 已为破绽修复版本

各系统修补方法:

* CentOS/Fedora/RHEL
# yum install bash -y

* Debian/Ubuntu
# apt-get update; apt-get install bash 

[1] https://access.redhat.com/articles/1200223
[2] https://securityblog.redhat.com/2014/09/24/bash-specially-crafted-environment-variables-code-injection-attack/
[3] https://access.redhat.com/security/cve/CVE-2014-7169

 

特别声明:关于Linux主机bash安全漏洞的修复文章原创首发于小白软件站(网址:https://www.7m7n.com/),请勿转载!