Bash安全漏洞 威胁比“心脏流血”更大

hackvssec

昨天收到阿里云的短信提示，马上就去更新了bash，然后检查一下，漏洞没了。

可以使用如下命令来检查系统存在此漏洞：  
env x='() { :;}; echo vulnerable' bash -c "echo this is a test"   

修复前输出:   
vulnerable   
this is a test   

使用修补方案修复后 ：
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test

受影响的系统包括：  
CentOS  
Debian  
Redhat  
Ubuntu  

漏洞修复教程：http://www.wenwenyun.com/a/tip/2014/0925/550.html

shyjmayue

出来这么多年了，才发现漏洞？

dengbao2001

不要太高兴，据说目前的修复还不是很彻彻底

action08

shell@ubuntu:~$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"   
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test
shell@ubuntu:~$

shyjmayue

[root@report ~]# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test
[root@report ~]#

等一等

安全问题自己注意，装好瑞星等安全工具。

爻易

写一个shell的难度有多大，bash不是世界上第1个shell，也不会是最后1个！