Linux Bash严重漏洞修复紧急通知

煎饼

尊敬的阿里云ECS用户：
           您好，日前Linux官方内置Bash中新发现一个非常严重安全漏洞（漏洞参考https://access.redhat.com/security/cve/CVE-2014-6271  ），黑客可以利用该Bash漏洞完全控制目标系统并发起攻击，为了避免您Linux服务器受影响，建议您尽快完成漏洞修补，修复方法如下，请了解！
: Y6 M% n& X+ e* E0 k
* l0 i* l" Y9 Q5 L' |特别提醒：目前解决办法是Linux官方提供的解决办法，针对此漏洞Linux官方解决办法仍然有可能会被绕过，后续我们会提供较为彻底的解决办法。
) }* W& q' x9 l" Z5 `4 q5 Z' P
& U" x2 ^2 z: z7 ?7 ]* p
# y3 d; U: t3 i! ?& [7 r+ R【已确认被成功利用的软件及系统】
所有安装GNU bash 版本小于或者等于4.3的Linux操作系统。
) m3 R, F  h9 k& F- X* |, l8 J% T

【漏洞描述】
' G& T5 w6 q# x5 v2 _  M该漏洞源于你调用的bash shell之前创建的特殊的环境变量，这些变量可以包含代码，同时会被bash执行。
' l, _3 s+ i9 z' m4 _, G
5 N9 N+ B  I- g% c
6 \7 A! x2 x* V【漏洞检测方法】
漏洞检测命令：env x='() { :;}; echo vulnerable' bash -c "echo this is a test"   

6 @" `! I8 G- a" _# u2 V
# p7 I$ V! z1 k6 U( }: E2 b  g修复前
- i0 k9 d$ s8 c/ A0 S# r输出:   
vulnerable  
4 {0 T! w8 o1 Z8 b- Bthis is a test   
8 w4 j3 `) ]( F! `8 |
% {6 T5 k4 x, f* ?
使用修补方案修复后
" P. z0 @" f* [; _bash: warning: x: ignoring function definition attempt
: d3 F) g" j1 D+ ]bash: error importing function definition for `x'
+ i' ]5 @0 `9 w& ?% fthis is a test
9 b& J) B9 C/ V4 V% f3 `7 b特别提示：该修复不会有任何影响，如果您的脚本使用以上方式定义环境变量，修复后您的脚本执行会报错。


【建议修补方案 】
# J- u* L  N6 ]/ ^$ y# [
; B2 O1 [9 {( H" U- r: f1 k请您根据Linux版本选择您需要修复的命令， 为了防止意外情况发生，建议您执行命令前先对Linux服务器系统盘打个快照，如果万一出现升级影响您服务器使用情况，可以通过回滚系统盘快照解决。

* E( M' |0 Y& zcentos:
yum -y update bash

6 O' e* w% y0 Yubuntu:
- I3 }) F5 D" |7 x6 ?5 S9 G+ v14.04 64bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.3-7ubuntu1.1_amd64.deb && dpkg -i bash_4.3-7ubuntu1.1_amd64.deb
; J* O0 Y3 X& y
" [+ Y  s, w, n% R& E14.04 32bit
/ t- V1 c6 ^. T5 O; \% \& l  `wget http://mirrors.aliyun.com/fix_stuff/bash_4.3-7ubuntu1.1_i386.deb && dpkg -i  bash_4.3-7ubuntu1.1_i386.deb
+ F' l. t! p8 i  I* ~' H
3 m! S8 B$ v3 C* ?, @& r$ T% ^' `
12.04 64bit
2 k( P6 W. D: }# d9 o+ Dwget http://mirrors.aliyun.com/fix_stuff/bash_4.2-2ubuntu2.2_amd64.deb && dpkg -i  bash_4.2-2ubuntu2.2_amd64.deb

12.04 32bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.2-2ubuntu2.2_i386.deb && dpkg -i  bash_4.2-2ubuntu2.2_i386.deb
" y4 z  {4 M# z7 T% G0 H
7 _- N/ i& [7 Y6 @/ G! M1 ^10.× 64bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.1-2ubuntu3.1_amd64.deb && dpkg -i bash_4.1-2ubuntu3.1_amd64.deb
) ^$ }& w7 k6 D( Q% P1 R0 h) u8 w
1 G6 P+ B5 A' e8 X, E9 w: D  z10.× 32bit
1 P9 L3 F- r& X9 D0 O1 C5 m$ Fwget http://mirrors.aliyun.com/fix_stuff/bash_4.1-2ubuntu3.1_i386.deb && dpkg -i bash_4.1-2ubuntu3.1_i386.deb


" Q+ Y9 m5 R/ L7 a! g/ ]debian:
+ P/ O) d" Q3 b' e) D$ G/ _7.5 64bit && 32bit
apt-get -y install --only-upgrade bash
' E% k; g! t5 p) {1 ]9 M
, s7 c. S" P6 |. i; e9 z6.0.x 64bit
wget http://mirrors.aliyun.com/debian/pool/main/b/bash/bash_4.1-3%2bdeb6u1_amd64.deb &&  dpkg -i bash_4.1-3+deb6u1_amd64.deb
+ O0 i1 f; [, o2 \; K5 R  g
6.0.x 32bit
wget http://mirrors.aliyun.com/debian/pool/main/b/bash/bash_4.1-3%2bdeb6u1_i386.deb &&  dpkg -i bash_4.1-3+deb6u1_i386.deb

opensuse:
13.1 64bit
wget http://mirrors.aliyun.com/fix_stuff/bash-4.2-68.4.1.x86_64.rpm && rpm -Uvh bash-4.2-68.4.1.x86_64.rpm

/ d$ w2 j. `, R- B. }
13.1 32bit
wget http://mirrors.aliyun.com/fix_stuff/bash-4.2-68.4.1.i586.rpm && rpm -Uvh bash-4.2-68.4.1.i586.rpm

aliyun linux:
5.x 64bit
wget http://mirrors.aliyun.com/centos/5/updates/x86_64/RPMS/bash-3.2-33.el5.1.x86_64.rpm && rpm -Uvh bash-3.2-33.el5.1.x86_64.rpm
% ?3 L2 t. g5 N8 n, f4 A
# h7 n0 b2 G+ {- D! Z  Q5 [4 w5.x 32bit
wget http://mirrors.aliyun.com/centos/5/updates/i386/RPMS/bash-3.2-33.el5.1.i386.rpm && rpm -Uvh bash-3.2-33.el5.1.i386.rpm

1 Y) J; x' A! Q0 g, Z
/ m  J: n5 h8 l- U' l% ^如果有问题，请随时提交工单或者电话联系我们。

- n) ]* Z" n8 d5 e- A5 G( a. b' A阿里云计算
2014年9月25日

2 ~/ h6 i8 p" C3 {" a4 X6 ?