Léa-Linux & amis :   LinuxFR   GCU-Squad   Zarb.Org   GNU
Archive de la liste aide - [Aide] Ça continue : faille dans bash cette fois
Le Thu, 25 Sep 2014 00:32:35 +0200,
Alarc'h <alarch at alarch.ath.cx> a écrit :

> Une faille de sécurité de bash, liée à la possibilité de définir des
> fonctions dans des variables d'environnement et permettant d'exécuter
> le code mis à la suite de ces fonctions. 
> 
> Une explication sur le blog de sécurité de Red Hat. Je n'ai pas
> encore vu de réactions de Debian, mais je n'ai pas cherché
> exhaustivement. 
> 
> https://securityblog.redhat.com/2014/09/24/bash-specially-crafted-environment-variables-code-injection-attack/
> 

Non je disais des bêtises, la version patchée de bash est sur les dépôts Debian (et je suppose Ubuntu et consors). J'ai mis à jour mes serveurs, et du coup il faut que je passe mon dernier en squeeze vers wheezy, zut ça m'arrange pas ça.

En lançant le test j'ai bien : 

$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test


Sur un serveur non patché vous aurez : 

$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
 vulnerable
 this is a test

-- 
        __
     __/o \_
     \____  \
         /   \
        //\   \
__/o \-//--\   \_/
\____  ___  \  |
     ||   \ |\ |
    _||   _||_||

Serveur hébergé par ST-Hebergement et Lost-Oasis / IRC hébergé par FreeNode / NS secondaire hébergé par XName
Sauf mention contraire, les documentations publiées sont sous licence Creative-Commons