Bug 30714

Summary:	CVE-2014-6271, CVE-2014-7169: удалённое выполнение кода в Bash
Product:	ALT Linux Server	Reporter:	Dmitry Kabakov <balabasone>
Component:	security	Assignee:	Anton V. Boyarshinov <boyarsh>
Status:	CLOSED WONTFIX	QA Contact:	Andrey Cherepanov <cas>
Severity:	critical
Priority:	P3	CC:	zenin_o
Version:	4.0.0	Keywords:	security
Hardware:	all
OS:	Linux
URL:	http://habrahabr.ru/company/mailru/blog/238475/

Description Dmitry Kabakov 2015-02-09 13:35:17 MSK

Основная опасность заключается в возможности произвольно задать переменные среды внутри интерпретатора Bash, которая задаёт определение функций. Проблемы начинаются в тот момент, когда Bash продолжает обрабатывать команды интерпретатора после определения функции, что позволяет осуществить атаку с внедрением кода. пример:

http-header = Cookie:() { :; }; ping -c 3 209.126.230.74

Comment 1 Andrey Cherepanov 2015-02-09 16:38:46 MSK

4.0 не поддерживается уже очень давно. Используйте более новые дистрибутивы и репозитории.

Comment 2 Oleg Zenin 2015-03-21 20:56:00 MSK

Это исправлено в bash-3.2.54:
http://packages.altlinux.org/en/Sisyphus/srpms/bash/get

Пакет пересобирается под branch/4.0 с закомментаренным макросом '%check':
http://hermes.ihep.su:8001/.rpm/4.0/

Проверка на CVE-2014-6271, CVE-2014-6277, CVE-2014-6278, CVE-2014-7169, CVE-2014-7186, CVE-2014-7187 дыр не показывает:

 https://shellshocker.net/shellshock_test.sh

~% bash --version
GNU bash, version 3.2.54(1)-release (i586-alt-linux-gnu)
Copyright (C) 2007 Free Software Foundation, Inc.
~% ./shellshock_test.sh 
CVE-2014-6271 (original shellshock): not vulnerable
CVE-2014-6277 (segfault): not vulnerable
CVE-2014-6278 (Florian's patch): not vulnerable
CVE-2014-7169 (taviso bug): not vulnerable
CVE-2014-7186 (redir_stack bug): not vulnerable
CVE-2014-7187 (nested loops off by one): not vulnerable
CVE-2014-//// (exploit 3 on http://shellshocker.net/): not vulnerable

Это можно положить в branch/4.0?

Comment 3 Andrey Cherepanov 2015-03-22 23:24:36 MSK

(В ответ на комментарий №2)
> Это можно положить в branch/4.0?
Увы, нет, только собрать локально. Сборочная очередь для 4.0 отключена с год назад.