Linux Bash严重漏洞修复紧急通知

煎饼

尊敬的阿里云ECS用户：
; k! G9 Z7 b: B0 {" U. T% w9 d           您好，日前Linux官方内置Bash中新发现一个非常严重安全漏洞（漏洞参考https://access.redhat.com/security/cve/CVE-2014-6271  ），黑客可以利用该Bash漏洞完全控制目标系统并发起攻击，为了避免您Linux服务器受影响，建议您尽快完成漏洞修补，修复方法如下，请了解！

特别提醒：目前解决办法是Linux官方提供的解决办法，针对此漏洞Linux官方解决办法仍然有可能会被绕过，后续我们会提供较为彻底的解决办法。
( m2 X: [1 u( ?" ?

  z7 D% K4 k' r& I/ ~【已确认被成功利用的软件及系统】
  e# H6 Q' R1 ^  C" P) _5 n4 l所有安装GNU bash 版本小于或者等于4.3的Linux操作系统。


【漏洞描述】
# H' O$ k% p$ k" j) O" `/ p& k该漏洞源于你调用的bash shell之前创建的特殊的环境变量，这些变量可以包含代码，同时会被bash执行。
2 n5 W1 C+ q; G* ~, m7 T' p- U
. D5 T' W6 k7 R/ ]2 p  k8 G  U7 J
8 W! v; i) ^2 H+ E( @: r7 E【漏洞检测方法】
' Y' d, z4 }0 ^, D漏洞检测命令：env x='() { :;}; echo vulnerable' bash -c "echo this is a test"   

$ F: v& d+ X. W/ l6 M) d- g
6 P) V( d! J7 j* q& _修复前
% z4 H3 Q" M/ V& Q) \2 r4 z输出:   
- Q8 ^4 I. V2 E" |8 c, ^7 x1 }vulnerable  
. Z8 y/ y& z6 o" a5 F( rthis is a test   
) g6 c; e# x! v

  V* b) e+ [: c( G使用修补方案修复后
bash: warning: x: ignoring function definition attempt
, m; h& c/ x  x& w% s( Hbash: error importing function definition for `x'
this is a test
2 C1 Y+ q; A# J! C, n特别提示：该修复不会有任何影响，如果您的脚本使用以上方式定义环境变量，修复后您的脚本执行会报错。

1 m9 V8 z- X6 }- W6 N# n6 z* K
【建议修补方案 】

请您根据Linux版本选择您需要修复的命令， 为了防止意外情况发生，建议您执行命令前先对Linux服务器系统盘打个快照，如果万一出现升级影响您服务器使用情况，可以通过回滚系统盘快照解决。
0 Y, x/ L. z, A. u- `: ~8 F8 b
centos:
. t/ K- N: a" c# C: m- n- U& Pyum -y update bash

ubuntu:
14.04 64bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.3-7ubuntu1.1_amd64.deb && dpkg -i bash_4.3-7ubuntu1.1_amd64.deb
4 ]! _" Z2 @; Q7 S: A5 n, `! K
9 w  s8 K$ H: T5 z' a2 [14.04 32bit
( ]6 V" i1 H( p' S& L9 |/ kwget http://mirrors.aliyun.com/fix_stuff/bash_4.3-7ubuntu1.1_i386.deb && dpkg -i  bash_4.3-7ubuntu1.1_i386.deb
. ^; v6 }5 E& ]; |
8 h2 j  l% V- c& q* h% ?
# e" {0 u; i: F6 y9 ~12.04 64bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.2-2ubuntu2.2_amd64.deb && dpkg -i  bash_4.2-2ubuntu2.2_amd64.deb
/ @7 \" @* ~' p
12.04 32bit
: p6 C% S- X1 s# Wwget http://mirrors.aliyun.com/fix_stuff/bash_4.2-2ubuntu2.2_i386.deb && dpkg -i  bash_4.2-2ubuntu2.2_i386.deb

" _! b% |9 y8 y; C, J8 g: [/ Y. O10.× 64bit
# T+ Q1 G5 x6 w" E+ Bwget http://mirrors.aliyun.com/fix_stuff/bash_4.1-2ubuntu3.1_amd64.deb && dpkg -i bash_4.1-2ubuntu3.1_amd64.deb
7 M  U2 j8 y! g  C1 H3 |
# X* a: `5 r' q0 Z. r! ^! @  @10.× 32bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.1-2ubuntu3.1_i386.deb && dpkg -i bash_4.1-2ubuntu3.1_i386.deb
6 W: B" Y2 V) z( y* y% ?% ~
/ G1 i, L% o, Q6 b4 Z
debian:
7.5 64bit && 32bit
% D$ I  L% J7 t; m. hapt-get -y install --only-upgrade bash
# G* H  _* L: T$ T: R
# s. j  o4 u6 F* a# m2 c" w6.0.x 64bit
wget http://mirrors.aliyun.com/debian/pool/main/b/bash/bash_4.1-3%2bdeb6u1_amd64.deb &&  dpkg -i bash_4.1-3+deb6u1_amd64.deb

6.0.x 32bit
wget http://mirrors.aliyun.com/debian/pool/main/b/bash/bash_4.1-3%2bdeb6u1_i386.deb &&  dpkg -i bash_4.1-3+deb6u1_i386.deb

opensuse:
13.1 64bit
wget http://mirrors.aliyun.com/fix_stuff/bash-4.2-68.4.1.x86_64.rpm && rpm -Uvh bash-4.2-68.4.1.x86_64.rpm


& @* e+ Q, A, O. V; N13.1 32bit
wget http://mirrors.aliyun.com/fix_stuff/bash-4.2-68.4.1.i586.rpm && rpm -Uvh bash-4.2-68.4.1.i586.rpm
. L& N, S. E: k2 J+ T4 O" r
aliyun linux:
5.x 64bit
wget http://mirrors.aliyun.com/centos/5/updates/x86_64/RPMS/bash-3.2-33.el5.1.x86_64.rpm && rpm -Uvh bash-3.2-33.el5.1.x86_64.rpm

. ]+ f5 K6 B6 f5.x 32bit
wget http://mirrors.aliyun.com/centos/5/updates/i386/RPMS/bash-3.2-33.el5.1.i386.rpm && rpm -Uvh bash-3.2-33.el5.1.i386.rpm

2 @4 [- {( ~: n7 C9 f  W1 p0 F
" a, g. X9 l- ]: R如果有问题，请随时提交工单或者电话联系我们。
4 G6 ?7 s* I# k9 S
阿里云计算
2014年9月25日

# e$ e! @) U& u1 W