Linux Bash严重漏洞修复紧急通知

煎饼

尊敬的阿里云ECS用户：
           您好，日前Linux官方内置Bash中新发现一个非常严重安全漏洞（漏洞参考https://access.redhat.com/security/cve/CVE-2014-6271  ），黑客可以利用该Bash漏洞完全控制目标系统并发起攻击，为了避免您Linux服务器受影响，建议您尽快完成漏洞修补，修复方法如下，请了解！
" B# d( `. |7 M! d2 I& p: H. M" ]6 q
特别提醒：目前解决办法是Linux官方提供的解决办法，针对此漏洞Linux官方解决办法仍然有可能会被绕过，后续我们会提供较为彻底的解决办法。

; x) \! W: T9 ~/ F" q0 W8 K/ K
, |; }4 x3 v" R8 \3 G【已确认被成功利用的软件及系统】
7 j. t; j+ Q6 \( v# q, Y. x所有安装GNU bash 版本小于或者等于4.3的Linux操作系统。
; ^7 |  A' S8 z) Z! F
5 r8 U  @+ w. G; ~1 x) h& @
【漏洞描述】
- a& T+ e" ~3 ?3 \0 r' ?4 J该漏洞源于你调用的bash shell之前创建的特殊的环境变量，这些变量可以包含代码，同时会被bash执行。
& t: ]' _8 d" k, I" I' _
% Z( ]0 s/ O6 ~
' R8 Z6 S/ x) y【漏洞检测方法】
* _. V8 V* A! m$ {' k. C4 L漏洞检测命令：env x='() { :;}; echo vulnerable' bash -c "echo this is a test"   

4 `5 C$ t; s- P$ q. M% G
修复前
输出:   
9 i( G( y. d9 b  E4 rvulnerable  
( q' H8 ^. ^# m  r7 q/ b& xthis is a test   


使用修补方案修复后
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
# X- ^$ B. {& a6 u) a) kthis is a test
# I) H: z$ \3 B* ^- b' R0 Q; `, u! J2 k; S特别提示：该修复不会有任何影响，如果您的脚本使用以上方式定义环境变量，修复后您的脚本执行会报错。


【建议修补方案 】
, l8 q# R& p; P* @  v
请您根据Linux版本选择您需要修复的命令， 为了防止意外情况发生，建议您执行命令前先对Linux服务器系统盘打个快照，如果万一出现升级影响您服务器使用情况，可以通过回滚系统盘快照解决。
; Z/ V+ `$ m: |* r4 y; }" W
. B- a7 z  p3 Zcentos:
yum -y update bash
3 G6 I; A$ Q) r! E# J- g& e
ubuntu:
7 k/ u6 H& ]& j$ f2 v" p: }6 g7 Q14.04 64bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.3-7ubuntu1.1_amd64.deb && dpkg -i bash_4.3-7ubuntu1.1_amd64.deb

- j& H6 r8 t7 i- V& A: b) s$ y14.04 32bit
9 N( m7 C) c6 a- twget http://mirrors.aliyun.com/fix_stuff/bash_4.3-7ubuntu1.1_i386.deb && dpkg -i  bash_4.3-7ubuntu1.1_i386.deb
$ r( L1 z3 E. v

12.04 64bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.2-2ubuntu2.2_amd64.deb && dpkg -i  bash_4.2-2ubuntu2.2_amd64.deb
  V* l; t# }  f9 R& o
% n7 a  p. |5 A& ~12.04 32bit
# ~* U$ v1 t' `) mwget http://mirrors.aliyun.com/fix_stuff/bash_4.2-2ubuntu2.2_i386.deb && dpkg -i  bash_4.2-2ubuntu2.2_i386.deb

10.× 64bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.1-2ubuntu3.1_amd64.deb && dpkg -i bash_4.1-2ubuntu3.1_amd64.deb
2 {6 Q0 ?' y' Z% U' H4 h
. q$ l2 {7 w4 M) I8 D  M: v10.× 32bit
* _& Y% q9 |+ K* D3 f$ \0 Fwget http://mirrors.aliyun.com/fix_stuff/bash_4.1-2ubuntu3.1_i386.deb && dpkg -i bash_4.1-2ubuntu3.1_i386.deb
  s, i3 h2 i( \: X

1 V. U9 r4 W  {! h( @debian:
7.5 64bit && 32bit
# P9 }8 [; n0 `4 p8 d1 ~apt-get -y install --only-upgrade bash

6.0.x 64bit
wget http://mirrors.aliyun.com/debian/pool/main/b/bash/bash_4.1-3%2bdeb6u1_amd64.deb &&  dpkg -i bash_4.1-3+deb6u1_amd64.deb

6.0.x 32bit
2 i, w; ~- L2 m2 i) B3 ^, ?wget http://mirrors.aliyun.com/debian/pool/main/b/bash/bash_4.1-3%2bdeb6u1_i386.deb &&  dpkg -i bash_4.1-3+deb6u1_i386.deb

opensuse:
13.1 64bit
wget http://mirrors.aliyun.com/fix_stuff/bash-4.2-68.4.1.x86_64.rpm && rpm -Uvh bash-4.2-68.4.1.x86_64.rpm


, l+ F( k5 e# i/ L! d6 e' S13.1 32bit
wget http://mirrors.aliyun.com/fix_stuff/bash-4.2-68.4.1.i586.rpm && rpm -Uvh bash-4.2-68.4.1.i586.rpm

! P  L# T0 G% V- V7 B7 b+ j, N) aaliyun linux:
5.x 64bit
) t) x0 f5 t0 T) h2 N9 ywget http://mirrors.aliyun.com/centos/5/updates/x86_64/RPMS/bash-3.2-33.el5.1.x86_64.rpm && rpm -Uvh bash-3.2-33.el5.1.x86_64.rpm

: a% o8 a$ M% m5.x 32bit
! _1 p; D2 M7 D- m- Awget http://mirrors.aliyun.com/centos/5/updates/i386/RPMS/bash-3.2-33.el5.1.i386.rpm && rpm -Uvh bash-3.2-33.el5.1.i386.rpm

; w: Q( ]% r( `  b" s0 n# \: |# k+ j
如果有问题，请随时提交工单或者电话联系我们。
  k% p: D6 a# t) q5 `
阿里云计算
2014年9月25日
2 U3 ?/ L1 i- |8 f% ]2 W+ v9 q