問題タブ [shellshock-bash-bug]

2014 年 9 月 24 日に発表された bash のリモート コード実行の脆弱性を考慮して、Ansible を使用して apt ベースのシステムを更新するにはどうすればよいですか?

なぜコードは

印刷する

?

評価を行う場所 (および理由)

起こり、得る

広告: @Etan Reisner

1. 関数ではなく、変数をエクスポートしています。Bashはそれから関数を作成します。の

その内容に関係なく、変数のままです。では、なぜ

関数に変換？

2. 前述のセキュリティ アドバイザリでは、 variable に続くコマンドの実行について説明しています。たとえば、

最新のBashではenv-definition以降のコマンドが実行されません。

しかし、疑問が残ります。なぜBash は、エクスポートされた変数を関数に変換するのでしょうか?

これはバグです ;) @chepner の回答に基づく完全なデモ:

版画

長いコメントは避けて、Bash ソースからのコードを次に示します。

「古代」（のようです）の方が良かった... :)

Shellshock Bashのバグ ( 2014 年 9 月 24 日に報告されたCVE -2014-6271 )に関するいくつかの記事 (記事 1、記事 2、記事 3) を読み、脆弱性とは何か、どのように悪用される可能性があるかについての一般的な考えを持っています。バグの影響をよりよく理解するために、一部のソフトウェアがバグを悪用する方法の簡単で具体的な例は何ですか?

昨日、BASH Shellshock の脆弱性である問題 CVE-2014-6271 が報告されました。Perl CGI スクリプトを介してサーバーに影響を与える可能性があるかどうかを理解しようとしています。

私のコードは悪意のある方法で影響を受ける可能性がありますか? 影響を受けるには、私のコードは何をする必要がありますか? これを確認するには、何を確認すればよいですか?

今朝、仕事に就いたときに、特別に細工された環境変数による Bash コード インジェクションの脆弱性 (CVE-2014-6271)という記事を読みました。私が担当しているほとんどのシステムでBashを更新しましたが、いくつかのFreeBSDサーバーで Bash をアップグレードするように依頼されました。

FreeBSD で実行されている Bash のバージョンを確認するにはどうすればよいですか? また、このエクスプロイトを取り除くためにパッチを適用するにはどうすればよいですか?

シェルショック用にパッチが適用された bash リリースを使用

別の同様のエクスプロイトはまだ機能しており、 CVE-2014-7169が割り当てられています。

これの内訳も探しています。

この潜在的に深刻な Linux ベースのバグについて読んでいます。Azure は Windows ベースであり、おそらくすぐにパッチが適用されるため、安全な側にあるように思われます。これが、Platform As A Service (PAAS) を使用する理由です。

これが一体何なのか疑問に思っている人のために、Try Hunt の次のサイトに良い記事があります: Troy Hunt's Article

これに関する誰かからのコメント、またはポインタはありますか?

ありがとう。

CVE-2014-6271 に関するあらゆる恐怖にもかかわらず、脆弱性の表面領域に関する具体的な情報はほとんど見つかりませんでした。特に、個人がこのエクスプロイトを実行するには端末アクセスが必要ですか? シェルを呼び出す CGI サービスがこの脆弱性へのアクセスを間接的に提供する可能性があることは承知しています ( 「bash の脆弱性 CVE-2014-6271 . Can it impact my CGI perl scripts? How to understand this?」に従って) 。攻撃の存在？

Shellshockの脆弱性をチェックしているときに、これを取得しました。

変でしょ？