Страница 1 из 1

Уязвимость ShellShock, как исправить?

СообщениеДобавлено: Пт сен 26, 2014 9:53 pm
xandeadx
Недавняя уязвимость ShellShock — http://habrahabr.ru/company/eset/blog/238257/
Тест показал наличие уязвимости. Как исправить? FreeBSD 8.4-STABLE

Re: Уязвимость ShellShock, как исправить?

СообщениеДобавлено: Сб сен 27, 2014 3:12 am
ls
У вас есть на сервере шелл bash? (/usr/local/bin/bash - запустить можно командой bash)
Во FreeBSD по-умолчанию он не идет.
Если нет - то не о чем беспокоиться. Если есть - не использовать в скриптах и в качестве шелла пользователя и удалить данный пакет. Если все же нужен - обновить данный shell.

Re: Уязвимость ShellShock, как исправить?

СообщениеДобавлено: Сб сен 27, 2014 5:17 am
otec
Как я понял, обновленный пакет еще не выложили (обновление пакетов раз в неделю), можно собрать из сорцов:
1. обновить порты (обязательно)
2.
Код: выделить все
cd /usr/ports/shell/bash
make BATCH=yes build
make BATCH=yes deinstall
make BATCH=yes reinstall

Re: Уязвимость ShellShock, как исправить?

СообщениеДобавлено: Сб сен 27, 2014 12:44 pm
xandeadx
команда "make BATCH=yes build" выдаёт:

Код: выделить все
===>  License GPLv3 accepted by the user
===>  Found saved configuration for bash-4.2.45
===>   bash-4.3.26 depends on file: /usr/local/sbin/pkg - not found
===>    Verifying install for /usr/local/sbin/pkg in /usr/ports/ports-mgmt/pkg
You are about to convert your system to pkg while you have ports/packages
installed with the old pkg_install tools.

To switch to pkg:
    1) Install ports-mgmt/pkg
       cd ports-mgmt/pkg && make UPGRADEPKG=1 install clean
    2) Convert your package database by running pkg2ng

*** Error code 1

Stop in /usr/ports/ports-mgmt/pkg.
*** Error code 1

Stop in /usr/ports/shells/bash.

Re: Уязвимость ShellShock, как исправить?

СообщениеДобавлено: Сб сен 27, 2014 4:38 pm
xandeadx
Пришлось поставить pkg, переконвертировать базу, и потом всё получилось. Теперь bash версии 4.3.26. Надеюсь ничего не сломал =)

Re: Уязвимость ShellShock, как исправить?

СообщениеДобавлено: Сб сен 27, 2014 11:54 pm
otec
xandeadx писал(а):Надеюсь ничего не сломал =)

Если стоит ipsmanager 4, то панель не будет работать с новым pkg. В смысле, что отвалится часть ее функционала, завязанная на команды старого формата. Пятая панель для freebsd работает с pkgng, но она пока в альфа-версии http://forum.ispsystem.com/ru/showpost. ... stcount=46 и там есть проблемы, присущие статусу альфа-версии.

Re: Уязвимость ShellShock, как исправить?

СообщениеДобавлено: Вт сен 30, 2014 10:38 am
lamnya
Написали статью:
http://firstwiki.ru/index.php/Shellshock_-_уязвимость_bash

Так же можете обращаться в поддержку. При наличии базового пакета поможем с обновлением.

Re: Уязвимость ShellShock, как исправить?

СообщениеДобавлено: Чт окт 02, 2014 5:08 am
Mikanoshi
lamnya писал(а):Написали статью:
http://firstwiki.ru/index.php/Shellshock_-_уязвимость_bash

http://firstwiki.ru/index.php/Shellshoc ... D1%8C_bash
=) Во FreeBSD 4.3.27 уже давно есть в портах

Re: Уязвимость ShellShock, как исправить?

СообщениеДобавлено: Чт окт 02, 2014 1:03 pm
ls
Дело в том, что обновление портов приведет к смене формата базы pkg на pkg_ng, а с ним ISPmanager 4 не работает, а ISPmanager 5 пока еще тоже не поддерживает и лучше обновить в таком случае только сам порт

Re: Уязвимость ShellShock, как исправить?

СообщениеДобавлено: Чт окт 02, 2014 1:59 pm
Mikanoshi
Лучше так:
Код: выделить все
portsnap fetch update
pkg version -v -l '<'
portmaster bash

И пакеты все можно обновлять, и не нужен никакой ISPManager.
PKGNG уже который год существует и вообще уже по умолчанию должен быть.

Re: Уязвимость ShellShock, как исправить?

СообщениеДобавлено: Пт окт 03, 2014 12:02 am
otec
Mikanoshi писал(а):
Код: выделить все
portsnap fetch update
pkg version -v -l '<'
portmaster bash

pkg version в таком формате это команда pkgng и чтобы ее использовать, сначала надо перейти на pkgng. portmaster это отдельная утилита и для использования ее нужно установить.
Mikanoshi писал(а):PKGNG уже который год существует и вообще уже по умолчанию должен быть.

Существует, но он не использовался по умолчанию, желающими ставился самостоятельно, по умолчанию он идет в 10й версии.

Re: Уязвимость ShellShock, как исправить?

СообщениеДобавлено: Чт окт 09, 2014 11:20 am
bes
fetch: http://92.63.107.78/FreeBSD_8.4_bash-4.3.27.tar: Not Found

вот вам и исправление уязвимости в Firstwiki

Re: Уязвимость ShellShock, как исправить?

СообщениеДобавлено: Чт окт 09, 2014 2:28 pm
Mikanoshi
4.3.30 уже есть) там багов-то оказался вагон

Re: Уязвимость ShellShock, как исправить?

СообщениеДобавлено: Чт окт 09, 2014 4:11 pm
ls

Файлы доступны по другому URL, исправил в wiki