CVE-2014-6271 bash අවදානම (Shellshock) යනු කුමක්ද සහ එය නිවැරදි කරන්නේ කෙසේද?

මෑතකදී, "CVE-2014-6271" පිළිබඳ ප්‍රවෘත්ති පළ විය (බලන්න යූඑස්එන් -2362-1 ) අතර එය බාෂ් හි අවදානමට ලක්විය හැකිය. මා මෙයින් පීඩාවට පත්වී ඇත්දැයි දැන ගන්නේ කෙසේද, එය නිවැරදි කරන්නේ කෙසේද සහ මා සැලකිලිමත් විය යුත්තේ ඇයි?

මෙම විෂය පථය හා බරපතලකම හේතුවෙන් මෙම අවදානමට කැනොනිකල් පිළිතුරක් ලෙස මෙය නිර්මාණය කර ඇත.

බාෂ් යනු කුමක්ද?

Bash යනු උබුන්ටු හි පෙරනිමි අන්තර්ක්‍රියාකාරී කවචයයි. ඔබ ටර්මිනලය සමඟ අන්තර් ක්‍රියා කරන විට (ටර්මිනල් ඉමුලේටරය හරහා, ටිටී හෝ එස්එස්එස් හරහා), ඔබ සාමාන්‍යයෙන් යතුරු ලියනය කරන්නේ bashකියවන සහ ක්‍රියාත්මක කරන විධාන ය . ඔබ ටර්මිනලය කිසිසේත් භාවිතා නොකළද, ඔබට තවමත් බාෂ් ඇත.

උබුන්ටු වල, /bin/shබාෂ් නොවේ (එය ඉරක්). මෙම අවදානමට ලක්ව ඇත්තේ බාෂ් පමණි.

සූරාකෑම මට බලපාන්නේ කෙසේද?

වර්තමාන ලොග් වී ඇති පරිශීලකයා, දෘඩ තැටියේ වැඩසටහන් සෙවිය යුතු ස්ථානය සහ වෙනත් එවැනි ක්‍රියාකාරකම් විස්තර කරන පරිසර විචල්‍යයන් සමූහයක් බාෂ් සහ මෙහෙයුම් පද්ධතිය නිරීක්ෂණය කරයි. නිශ්චිත ව්‍යුහයක් සහිත පරිසර විචල්‍යයක් සැකසීමෙන්, ඊළඟ වතාවේ බාෂ් ආරම්භ වන විට ප්‍රහාරකයාට කේතය ක්‍රියාත්මක කිරීමට හැකි වනු ඇත.

ප්‍රහාරකයාට එම පරිසර විචල්‍යය විවිධ ආකාරවලින් සැකසිය හැකිය:

• SSH වැනි සේවාවක් සඳහා දුරස්ථව සම්බන්ධ වන්න. මිටර් අනතුරු අඟවන පරිදි, sshd ForceCommandවිකල්පය භාවිතා කිරීම ප්‍රහාරක දෛශිකයකි. ෂෙල් බෑෂ් නොවන ගිණුම් වලට බලපෑමක් නැත.
• පරිසර විචල්‍යය සැකසීමට ඔබව පොළඹවයි.
• එම සැකසූ අගය ලබා ගැනීම සඳහා පරිසර විචල්‍යයක් සැකසීමට තවත් වැඩසටහනක් ඇති කිරීම. උදාහරණයක් ලෙස, ඔබට විශේෂිත පරිශීලක අන්තර්ගතයන් සමඟ පරිසර විචල්‍යයක් සැකසීමට අවශ්‍ය වෙබ් සේවාදායකයක් සහ ස්ක්‍රිප්ටයක් තිබිය හැකිය. එම ස්ක්‍රිප්ට් එකටම ආවේණික වූවත් වෙනත් පරිසර විචල්‍යයන් ස්පර්ශ නොකළත් එය ප්‍රමාණවත්ය. සූරාකෑම සාර්ථක වීමට ඕනෑම නමක් සහ සැකසූ වටිනාකමක් ඇති තනි පරිසර විචල්‍යයක් ප්‍රමාණවත් වේ .
• මා මෙහි සඳහන් නොකළ වෙනත් ක්‍රම.

ඔවුන් මෙම විචල්‍යය සැකසූ පසු, ඊළඟ වතාවේ කිසියම් හේතුවක් නිසා bashවිවෘත වන විට , ඔබේ ප්‍රහාරකයාගේ කේතය ක්‍රියාත්මක වේ. මෙය සුපිරි පරිශීලකයා ලෙස ( ඔබේ පරිගණකයේ දත්ත සහ වැඩසටහන් මත පූර්ණ පාලනයක් ඇති පරිපාලන පරිශීලක රීතියක්) ලෙස විහිදෙන බැවින් මෙය විශේෂයෙන් බියජනක ය . ඔබ සම්මත පරිශීලකයෙකු ලෙස පමණක් ආරම්භ කළත්, එම පරිශීලකයාගේ ලිපිගොනු මකා දැමිය හැකිය.sudo -s

ඔබ විසින්ම බාෂ් භාවිතා නොකළද, බොහෝ වැඩසටහන් ඔවුන්ගේ ක්‍රියාකාරිත්වයේ කොටසක් ලෙස තනිවම බාෂ් බිහි කරනු ඇති බව සැලකිල්ලට ගැනීම වැදගත්ය. මෙම අවස්ථාවේ දී පවා, ඔබ අවදානමට ලක් වේ. කෙසේ වෙතත්, උබුන්ටු /bin/shබාෂ් නොවේ, එබැවින් පැහැදිලිවම බාෂ් ඉල්ලා සිටින වැඩසටහන් පමණක් වන අතර පෙරනිමි ස්ක්‍රිප්ටින් කවචය නොවේ.

මිටර්ට අනුව:

OpenSSH sshd හි ඇති ForceCommand විශේෂාංගයට සම්බන්ධ දෛශික, Apache HTTP සේවාදායකයේ mod_cgi සහ mod_cgid මොඩියුල, නිශ්චිතව දක්වා නොමැති DHCP සේවාදායකයින් විසින් ක්‍රියාත්මක කරන ලද ස්ක්‍රිප්ට් සහ පරිසරය සැකසීමේ වරප්‍රසාද සීමාව හරහා බැෂ් ක්‍රියාත්මක කිරීමෙන් සිදුවන වෙනත් අවස්ථා.

මම අනාරක්ෂිතද?

ඔබගේ ස්ථාපිත පැකේජ අනුවාදය පරීක්ෂා කිරීමට dpkg භාවිතා කරන්න:

dpkg -s bash | grep Version

මෙය ඔබගේ bashපැකේජයේ තොරතුරු සොයා බලනු ඇති අතර ඔබට අනුවාදය පමණක් පෙන්වීමට ප්‍රතිදානය පෙරහන් කරන්න. ස්ථාවර දාලා 4.3-7ubuntu1.4, 4.2-2ubuntu2.5හා 4.1-2ubuntu3.4.

උදාහරණයක් ලෙස, මම දකිමි:

wlan1-loopback% dpkg -s bash | grep Version
Version: 4.3-7ubuntu1.4

සහ මම අනාරක්ෂිත නොවන බව තීරණය කළ හැකිය.

මා යාවත්කාලීන කරන්නේ කෙසේද?

සම්මත යාවත්කාලීන කළමණාකරු ඔබට මෙම යාවත්කාලීනය ලබා දෙනු ඇත. ඔබ කුමන මෙහෙයුම් පද්ධතියක් භාවිතා කළත් එය කෙතරම් හොඳින් නඩත්තු කළත් ආරක්‍ෂිත යාවත්කාලීන කිරීම් වැදගත් වන්නේ කෙසේද යන්නට මෙය ප්‍රධාන උදාහරණයකි.

මෙම USN සංග්රහය නව අනුවාදයක් උබුන්ටු 14.04, විශ්වාසනීය Tahr, 12.04 ඉතා නිවැරදි කබල්ලෑවකුගේ, සහ 10.04 පැහැදිලි කටහඬකින් කරුණු Lynx සඳහා නිදහස් කර ඇති බව සඳහන් කරයි. ඔබ මෙම LTS අනුවාදයන්ගෙන් එකක් නොව, නමුත් සාධාරණ ලෙස මෑත කාලීන අනුවාදයක සිටී නම්, ඔබට බොහෝ විට පැච් පැකේජයක් සොයාගත හැකිය.

පළමුව, ඔබදැයි පරීක්ෂා කරන්න

ඔබ අවදානමට ලක්විය හැකි නම්, ඔබ පළමුව නවතම පැකේජ ලැයිස්තු ලබා ගත යුතුය:

sudo apt-get update && sudo apt-get install bash

පළමු විධානය මඟින් ඔබට ස්ථාවර පැකේජය ඇතුළත් නවතම පැකේජ ලැයිස්තුවක් ඇති බවට සහතික වන අතර දෙවන විධානය මඟින් නවතම (ස්ථාවර) බැෂ් අනුවාදය ස්ථාපනය කරයි.

දෝෂය ක්‍රියාත්මක වන විට පමණක් එය ක්‍රියාත්මක වන බවක් පෙනෙන්නට තිබුණද, හැකි නම් වහාම නැවත ආරම්භ කිරීම හොඳ අදහසකි.

හැකර් නිවුස් හි මෙම සොරකම සොරකම් කරන්න . මා වැනි ඔබේ ගබඩාවල (Odroid-XU) ඔබට ගැටළුවක් ඇත්නම්, ඔබට ප්‍රභවයෙන් ඇලවීමට / ගොඩ නැගීමට අවශ්‍ය නම් මෙය හොඳින් ක්‍රියාත්මක විය යුතුය.

TMPDIR=/tmp/bash-src
mkdir $TMPDIR
cd $TMPDIR
#download bash
wget http://ftp.gnu.org/gnu/bash/bash-4.3.tar.gz
#download all patches
for i in $(seq -f "%03g" 1 999); do 
  wget http://ftp.gnu.org/gnu/bash/bash-4.3-patches/bash43-$i
  if [[ $? -ne "0" ]]; then
    MAX=$(expr $i - 1)
    break;
  fi
done
tar zxf bash-4.3.tar.gz 
cd bash-4.3
#apply all patches
for i in $(seq -f "%03g" 1 $MAX);do
  echo apply patch bash43-$i
  patch -p0 < ../bash43-$i
done
#build and install
./configure && make
sudo make install
cd ../..
rm -r $TMPDIR

ඉන්පසු ධාවනය කරන්න:

env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

ඔබට ලැබුනේ නම්:

bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test

එහෙනම් ඔයා ඔක්කොම හොඳයි!

අවවාදයයි: ස්ථාපනය කරන්න bash ස්ථාපනය කරයි /usr/local/bin, එබැවින් /bin/bashවෙනස් කර නොමැති අතර curl වෙතින් ආයාචනය කළ හැකිය !!

සටහන: CVE-2014-7169 සඳහා වන ආරක්ෂක පැච් එක සම්මත ආරක්ෂක යාවත්කාලීන කිරීමක් ලෙස නිකුත් කර ඇත. මෙම පැච් එක ලබා ගැනීම සඳහා අමතර ppa එකතු කිරීම අවශ්‍ය නොවේ. අවශ්‍ය වන්නේ පහත සඳහන් දෑ පමණි.

sudo apt-get update

sudo apt-get upgrade

ඔබ නිවැරදිව පැෂ් කර ඇති බව සහතික කිරීම සඳහා, පහත දැක්වෙන විධානය ක්‍රියාත්මක කරන්න

dpkg -s bash | grep Version

ඔබ LTS 14.04 හි සිටී නම්, ඔබ මෙහි ප්‍රතිදානයක් දැකිය යුතුය:

Version: 4.3-7ubuntu1.4

ඔබ LTS 12.04 හි සිටී නම්, ඔබේ ප්‍රතිදානය මෙසේ විය යුතුය:

 Version: 4.2-2ubuntu2.5

ඔබ 11.04 හි සිටී නම්: පහත පියවර භාවිතා කරන්න (එය මට වැඩ කළේය)

cd ~/
mkdir bash
wget https://ftp.gnu.org/gnu/bash/bash-4.3.tar.gz
for i in $(seq -f "%03g" 0 25); do wget https://ftp.gnu.org/gnu/bash/bash-4.3-patches/bash43-$i; done

අවශ්‍ය පැච් එක බාගත කර නොමැති නම් ftp පැකේජය ස්ථාපනය කරන්න

apt-get install ftp
for i in $(seq -f "%03g" 0 25); do wget https://ftp.gnu.org/gnu/bash/bash-4.3-patches/bash43-$i; done
tar zxvf bash-4.3.tar.gz
cd bash-4.3
for i in $(seq -f "%03g" 0 25);do patch -p0 < ../bash43-$i; done
./configure && make && make install
apt-get install build-essential
./configure && make && make install

පැච් එක යොදනවාදැයි බැලීමට:

env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

මම භාවිතා කරන්නේ Natty 11.04, එය EOL (සහ මම පැරණි-releases.ubuntu.com භාවිතා කිරීමට /etc/apt/sources.list යාවත්කාලීන කර ඇත), එබැවින් මට ප්‍රභවයෙන් සෑදිය යුතුය. මට .deb එකක් සෑදීමට අවශ්‍ය විය, එබැවින් අවම වශයෙන් පැකේජ කළමනාකරණය "දැනුවත්ව" ඇත, bash අනුවාදය පෙරනිමිය නොවේ. මම 100% ක් සාර්ථක නැත - කෙසේ වෙතත්, පැකේජය "නව" ලෙස ලියාපදිංචි කර ඇති අතර bashද්විමය අවසානය ස්ථාවර වේ, එබැවින් මෙන්න මම කළ දේ:

apt-get source bash
wget https://gist.githubusercontent.com/drj11/e85ca2d7503f28ebfde8/raw/31bd53ed2e47b220d3c728f5440758e0f76769de/gistfile1.c -O bash_CVE-2014-6271.patch
wget https://gist.githubusercontent.com/drj11/239e04c686f0886253fa/raw/046e697da6d4491c3b733b0207811c55ceb9d927/gistfile1.c -O bash_CVE-2014-6271_plus.patch
cd bash-4.2/

දැන්, (උප) නාමාවලියෙහි bash-4.2/: ගොනුවක් ඇත bash-4.2.tar.xz, එය bashප්‍රභවයට ලබා ගැනීම සඳහා ඉවත් කළ යුතුය ; සහ උප බහලුමක් ලෙස හැඳින්වේdebian .

මත යැපීම් වළක්වා ගැනීම සඳහා මම පහත වෙනස්කම් සිදු කළෙමි texlive: දී bash-4.2/debian/control:

Source: bash
...
Build-Depends: autoconf, autotools-dev, patch, bison, libncurses5-dev,
# texinfo, debhelper (>= 5), texi2html, locales, gettext, sharutils, time, xz-ut
ils
 debhelper (>= 5), locales, gettext, sharutils, time, xz-utils
# Build-Depends-Indep: texlive-latex-base, ghostscript
Build-Depends-Indep: ghostscript

... සහ ඇතුළත bash-4.2/debian/rules:

binary-doc: bash-install #bash-doc-build
        dh_testdir
        dh_testroot
        mkdir -p $(d_doc)/usr/share/doc/$(p)
        dh_installdocs -p$(p_doc) 
ifeq ($(with_gfdl),yes)
        #cp -p build-bash/doc/bashref.pdf $(d_doc)/usr/share/doc/$(p)/.
        #dh_link -p$(p_doc) \
        #    /usr/share/doc/$(p)/bashref.pdf /usr/share/doc/$(p_doc)/bashref.pdf
else
        rm -f $(d_doc)/usr/share/doc-base/bashref
endif
        rm -f $(d_doc)/usr/share/info/dir*
        #cp -p build-bash/doc/bash.html build-bash/doc/bash.pdf \
        #    $(d_doc)/usr/share/doc/$(p)/
        #dh_link -p$(p_doc) \
        #    /usr/share/doc/$(p)/bash.html /usr/share/doc/$(p_doc)/bash.html \
        #    /usr/share/doc/$(p)/bash.pdf /usr/share/doc/$(p_doc)/bash.pdf
        dh_installchangelogs -p$(p_doc) bash/CWRU/changelog
        ...

අනුවාදය වෙනස් කිරීම සඳහා, මෙම bash-4.2/නාමාවලියෙහි, කරන්න:

bash-4.2$ dch --local patchCVE

... සහ ඉල්ලන විට චේන්ජ්ලොග් හි සටහන් පුරවන්න. .Deb (සහ අදාළ පාර-දත්ත) (මගේ නඩුවේදී) ලෙස හැඳින්වීම මෙයින් සහතික කෙරේ.bash_4.2-0ubuntu3patchCVE1_i386.deb .

එවිට ඔබට dpkg-buildpackage -us -ucහෝ debuildවිධානය සමඟ ගොඩනැගීමට උත්සාහ කළ හැකිය . සටහන - මේ දෙකෙන් එකක් හෝ සිප් එකෙන් ප්‍රභවය නැවත මුදා හරිනු ඇත - එමඟින් ඔබට ඇති ඕනෑම පැච් එකක් අභිබවා යයි! කෙසේ වෙතත්, මේවායින් එකක් වරක් ධාවනය කරන්න, එවිට ප්‍රභවය ඉවත් කර ගොඩනගා ඇත (සටහනdebuild ටෙක්ස්ලයිව් නිසා තවමත් අසමත් විය හැක, නමුත් එය ප්‍රභවය ඉවත් කර ගොඩනගා ගත යුතුය).

ඉන්පසු පැච් ආලේප කරන්න; ඔබ -p1මෙහි භාවිතා කළ යුතු බව සලකන්න , දැනට ඔබ bash-4.2/නාමාවලියෙහි සිටින නිසා:

bash-4.2$ patch -p1 < ../bash_CVE-2014-6271.patch 
bash-4.2$ patch -p1 < ../bash_CVE-2014-6271_plus.patch 

පැච් අනුවාදය ධාවනය කිරීමෙන් නැවත ගොඩනඟන්න:

bash-4.2$ fakeroot debian/rules build 

මෙය ක්‍රියාත්මක කළ හැකි යලි ගොඩනඟනු ඇත; එය පරීක්ෂා කිරීමට:

bash-4.2$ env VAR='() { :;}; echo Bash is vulnerable!' ./build-bash/bash -c "echo Bash Test"

.Deb ගොනු තැනීම සඳහා, ධාවනය කරන්න:

bash-4.2$ fakeroot debian/rules binary

මෙය මව් නාමාවලියෙහි .deb ගොනු සුරකිනු ඇත; ඒවායේ අන්තර්ගතය ලැයිස්තුගත කිරීමට:

bash-4.2$ dpkg -c ../bash_4.2-0ubuntu3patchCVE1_i386.deb

.Deb ස්ථාපනය කිරීම සඳහා:

bash-4.2$ sudo dpkg -i ../bash_4.2-0ubuntu3patchCVE1_i386.deb

කෙසේ වෙතත්, කිසියම් හේතුවක් නිසා, මෙම .deb හි නොගැලපෙන ද්විමය (?!) අඩංගු වේ, එබැවින් මට අතිරේකව කිරීමට සිදු විය:

bash-4.2$ sudo cp bash-4.2/build-bash/bash /bin/

... ඊට පසු, පරීක්ෂණය මා වෙනුවෙන් නිවැරදිව සමත් වීමට පටන් ගත්තේය:

$ env VAR='() { :;}; echo Bash is!' bash -c "echo Bash Test"
bash: warning: VAR: ignoring function definition attempt
bash: error importing function definition for `VAR'
Bash Test