patched-bash-4.3

patched-bash-4.3 pour CVE-2014-6271

Ceci est simplement bash 4.3, tiré du site web de GNU, et corrigé avec les correctifs disponibles le 26/09/2014, y compris les changements de fonctionnalité pkgsrc qui désactivent tout simplement l'absurde « exécution de fonctions dans les variables d'environnement ».

Les correctifs sont également inclus ici, mais je les ai déjà appliqués au code source (pour ceux qui ne connaissent pas la commande patch).

Ne l'utilisez pas si vous ne me connaissez pas et ne me faites pas confiance. Compilez-le vous-même.

Je mets ceci sur GitHub afin de pouvoir diriger des amis et collègues ici.

Pour appliquer un correctif à chaud dans une zone SmartOS (comme dans JPC) :

• clonez ce dépôt

git clone https://github.com/ryancnelson/patched-bash-4.3

• cd bash-4.3
• make clean ; ./configure ; make ; make install
• consultez

/usr/local/bin/bash --version 
GNU bash, version 4.3.25(1)-release (i386-pc-solaris2.11)
Copyright (C) 2013 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html>

This is free software; you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

• montez ce fichier, à l'aide de l'astuce de montage lofs, PAR-DESSUS /usr/bin/bash :

  • vous devrez peut-être redémarrer pour tuer tous les shells bash actuellement en cours d'exécution
  • après le redémarrage, reconnectez-vous et exécutez exec /bin/sh pour confirmer que vous n'utilisez pas bash pour le moment.
  • ps -ef | grep bash ne devrait rien renvoyer.
  • puis, montez /usr/local/bin/bash par-dessus /usr/bin/bash avec : mount -O -F lofs /usr/local/bin/bash /usr/bin/bash
  • ce montage lofs n'est pas permanent. refaites-le après les redémarrages, ou attendez une image de plateforme corrigée.

• confirmez que /usr/bin/bash --version renvoie la nouvelle version 4.3 que vous attendez après la commande lofs mount

pour aller plus loin :

Si vous êtes intéressé, sous SmartOS, à surveiller votre système pour voir quand bash est exécuté, vous pouvez, avec DTrace : exécutez ceci dans votre ligne de commande :

dtrace -n 'proc:::exec-success /basename(execname)=="bash"/ {printf("%d executed %s\n", ppid, execname);}'

... puis, reconnectez-vous, ou lancez quelques shells bash. Vous devriez voir des lignes comme :

CPU     ID                    FUNCTION:NAME
  1  11422         exec_common:exec-success 91178 executed bash

... cela vous permettra de savoir si vos applications créent des processus bash en arrière-plan, à votre insu, dans le cadre de leur fonctionnement normal, et si vous êtes exposé à des intrus externes capables de lancer bash et de l'exploiter à distance.