patched-bash-4.3

patched-bash-4.3 для CVE-2014-6271

Это просто bash 4.3, взятый с сайта GNU и пропатченный патчами, доступными на 26.09.2014, включая изменения функциональности pkgsrc, которые полностью отключают эту глупую возможность «выполнять функции из переменных окружения».

Патчи также включены сюда, но я уже применил их к исходному коду (для тех, кто не знаком с командой patch).

Не используйте это, если вы меня не знаете и не доверяете мне. Соберите его сами.

Я выкладываю это на github, чтобы можно было отправлять сюда друзей и коллег.

Для «горячего» пропатчивания в зоне SmartOS (например, в JPC):

• склонируйте этот репозиторий

git clone https://github.com/ryancnelson/patched-bash-4.3

• cd bash-4.3
• make clean ; ./configure ; make ; make install
• посмотрите:

/usr/local/bin/bash --version 
GNU bash, version 4.3.25(1)-release (i386-pc-solaris2.11)
Copyright (C) 2013 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html>

This is free software; you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

• подмонтируйте этот файл, используя трюк с lofs-монтированием, ПОВЕРХ /usr/bin/bash:

  • возможно, потребуется перезагрузка, чтобы завершить все работающие в данный момент bash-оболочки
  • после перезагрузки снова войдите в систему и выполните exec /bin/sh, чтобы убедиться, что вы сейчас не используете bash
  • ps -ef | grep bash не должен ничего выводить
  • затем подмонтируйте /usr/local/bin/bash поверх /usr/bin/bash с помощью: mount -O -F lofs /usr/local/bin/bash /usr/bin/bash
  • это lofs-монтирование непостоянно. Повторите его после перезагрузок или дождитесь пропатченного образа платформы

• убедитесь, что /usr/bin/bash --version после команды lofs mount возвращает ожидаемую вами новую версию 4.3

бонус:

Если вам интересно, как в SmartOS отследить, когда выполняется bash, вы можете сделать это с помощью DTrace: выполните в командной строке следующее:

dtrace -n 'proc:::exec-success /basename(execname)=="bash"/ {printf("%d executed %s\n", ppid, execname);}'

... затем снова войдите в систему или породите несколько bash-оболочек. Вы должны увидеть строки вроде:

CPU     ID                    FUNCTION:NAME
  1  11422         exec_common:exec-success 91178 executed bash

... это позволит вам узнать, порождают ли ваши приложения bash втайне, без вашего ведома, в рамках своей обычной работы, и подвержены ли вы риску того, что внешние злоумышленники смогут удалённо запускать bash и эксплуатировать его.