[danger][Shellshock]bashにコードインジェクションの脆弱性の対応方法について
「LinuxやMac OS XなどのUNIX系OSで使われているシェル「bash（Bourne Again Shell）」に、極めて深刻な脆弱性（CVE-2014-6271）が発見された。シェルの環境変数として外部入力を受け入れる設定となっている環境では、最悪の場合、リモートから任意のコマンドを実行される恐れがある。この脆弱性はコマンドインジェクションの一種で、「Shellshock」と呼ばれている。bashの環境変数の処理に問題があり、細工を施した環境変数を受け入れた場合、そこに含まれる任意のコマンドまで実行してしまう恐れがある。」だそうですが、Shellshockの対応方法について、教えてください。
ベストアンサー
0
iQi - 面白いアプリを開発中
①検証方法：
問題あるサーバーは「date」を出力せず、システム時間を表示
問題無いサーバーは「date」文字を出力している。
※「date」文字を出力すれば、問題ないという認識でOKです。
②対応方法：
centos
ubuntu:
debian:
opensuse:
③これはまとめた最終対応方法です。早めに対応することをおすすめします。
env -i X='() { (a)=>\' bash -c 'echo date'; cat echo
問題あるサーバーは「date」を出力せず、システム時間を表示
問題無いサーバーは「date」文字を出力している。
※「date」文字を出力すれば、問題ないという認識でOKです。
②対応方法：
centos
yum clean all
yum makecache
yum -y update bash
ubuntu:
apt-get update
apt-get -y install --only-upgrade bash
debian:
apt-get update
apt-get -y install --only-upgrade bash
opensuse:
zypper clean
zypper refresh
zypper update -y bash
③これはまとめた最終対応方法です。早めに対応することをおすすめします。
