読者です 読者をやめる 読者になる 読者になる

Opensourcetechブログ(ZeusITCamp裏BLOG)

オープンソース技術 開発研究所による主にオープンソースに関するブログです。

bashの脆弱性(CVE-2014-6271)の概要と、脆弱性への対応方法

 

こんにちは、オープンソース技術 開発研究所鯨井貴博です音譜

 f:id:opensourcetech:20140811122503p:plain

 

先日、RedhatよりBashに関する脆弱性がアナウンスされました。

 

https://securityblog.redhat.com/2014/09/24/bash-specially-crafted-environment-variables-code-injection-attack/

f:id:opensourcetech:20140925192749p:plain

 

https://access.redhat.com/solutions/1207723

f:id:opensourcetech:20140925192801p:plain

 

内容としては、

bashを使用しているサーバなどへのリモートアクセスなどの際に、

環境変数などを指定する事が出来るbashの機能に起因しており、

通常は適用されるアクセス制限などを回避してコマンド等を実行出来てしますというものです。

f:id:opensourcetech:20140925192943p:plain

これに便乗して、

httpd(Webサーバ)におけるCGISSH通信などでも同様の事が実施出来てしまうとの事。

f:id:opensourcetech:20140925192958p:plain

 

Redhat5・6・7(CentOS5・6・7)のbashで影響を受ける可能性があり、

7ではbash-4.2.45-5.el7_0.2、

6ではbash-4.1.2-15.el6_5.1、

5ではbash-3.2-33.el5.1へのアップグレードでOKとのことです。

※アップグレードには、yumrpmを使用します。

f:id:opensourcetech:20140925193056p:plain

 

bashの動作による確認では、

env x='() { :;}; echo vulnerable'  bash -c "echo this is a test"
実行し、判別出来るとの事。

脆弱性に該当する場合は、
vulnerable
this is a test

脆弱性に該当しない場合は、
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test
となるとの事。

f:id:opensourcetech:20140925193102p:plain

 

ということで手元のCentOS5及びCentOS7にて確認してみました。

 

CentOS5

-------

env x='() { :;}; echo vulnerable'  bash -c "echo this is a test"を実行すると、
やはり脆弱性に該当しております。
ちなみにbashのバージョンは3.2-24.el5

f:id:opensourcetech:20140925194911p:plain

なので、bash-3.2-33.el5.1をダウンロードし、

インストールします。

wget http://ftp.riken.jp/Linux/centos/5/updates/i386/RPMS/bash-3.2-33.el5.1.i386.rpm

rpm -Fvh bash-3.2-33.el5.1.i386.rpm

rpm -q bash

 

そして再度

env x='() { :;}; echo vulnerable'  bash -c "echo this is a test"を実行すると、
無事脆弱性を修正出来ました。

 

f:id:opensourcetech:20140925194916p:plain

 

CentOS7

-------

こちらでも、脆弱性にはばっちり該当しております。

f:id:opensourcetech:20140925195541p:plain

なので、yumにてbashをアップデートした後、

再度

env x='() { :;}; echo vulnerable'  bash -c "echo this is a test"
無事に修正出来ました。

f:id:opensourcetech:20140925195542p:plain

 

 

オープンソース技術 開発研究所

 f:id:opensourcetech:20140811122503p:plain

 

にほんブログ村 IT技術ブログ Linuxへ
Linux

にほんブログ村 IT技術ブログ オープンソースへ
オープンソース

footerのテストです