Как я могу исправить RHEL 4 для уязвимостей bash в CVE-2014-6271 и CVE-2014-7169?
Механизм удаленного выполнения кода через Bash широко освещался вчера и сегодня (24 сентября 2014 г.) http://seclists.org/oss-sec/2014/q3/650 Сообщается как CVE-2014-7169 или CVE-2014. -6271
По причинам, слишком глупым для публичного объяснения, я отвечаю за сервер с RHEL 4 и без подписки на обновления. Я мог бы создать клона, чтобы проверить это, но я надеюсь, что у кого-то будет прямой ответ.
- Патч / bin / bash из Centos 4 был исправлен или будет?
- Могу ли я просто добавить (предположительно исправленный) Centos 4 /bin/bash в мою систему RHEL в качестве обходного пути, которое купит меня через несколько недель? (Мне нужно до 10 декабря)
4 ответа
Oracle предоставил патч для el4:
https://oss.oracle.com/el4/SRPMS-updates/bash-3.0-27.0.1.el4.src.rpm
https://oss.oracle.com/el4/SRPMS-updates/bash-3.0-27.0.2.el4.src.rpm
https://oss.oracle.com/el4/SRPMS-updates/bash-3.0-27.0.3.el4.src.rpm
https://oss.oracle.com/el4/SRPMS-updates/bash-3.0-27.el4.src.rpm
Так как это RPC src, вам нужно скомпилировать rpmbuild,
или используйте эту ссылку, чтобы избежать сборки
Я протестировал его на системе 4.9 i386, прошел тест на эксплойт, который у меня есть. (Тед)
Мне пришлось исправить старый сервер CentOS 4.9, поэтому я извлек последнюю версию RPM с Red Hat FTP и добавил апстримовый патч с GNU FTP. Шаги ниже:
Сначала выполните процедуру "Настройка" с сайта http://bradthemad.org/tech/notes/patching_rpms.php.
Затем выполните следующие команды из вашего%_topdir:
wget http://ftp.redhat.com/redhat/linux/updates/enterprise/4ES/en/os/SRPMS/bash-3.0-27.el4.src.rpm
rpm -ivh bash-3.0-27.el4.src.rpm
cd SOURCES
wget http://ftp.gnu.org/gnu/bash/bash-3.0-patches/bash30-017
cd ..
Патч SPECS/bash.spec с этим diff:
4c4
< Release: 27%{?dist}
---
> Release: 27.2%{?dist}
28a29
> Patch17: bash30-017
110c111,112
< #%patch16 -p0 -b .016
---
> %patch16 -p0 -b .016
> %patch17 -p0 -b .017
Затем закончите с этими командами:
rpmbuild -ba SPECS/bash.spec
sudo rpm -Uvh RPMS/i386/bash-3.0-27.2.i386.rpm
Если кто-то знает простой способ их загрузки, я выставлю свой источник и RPM.
Изменить: последние комментарии в Red Hat Bugzilla говорят, что патч не завершен. Новый идентификатор - CVE-2014-7169.
Редактировать: есть два дополнительных патча от gnu.org, поэтому загрузите их в тот же каталог SOURCES:
wget http://ftp.gnu.org/gnu/bash/bash-3.0-patches/bash30-018
wget http://ftp.gnu.org/gnu/bash/bash-3.0-patches/bash30-019
Затем также отредактируйте SPECS/bash.spec следующим образом (нумерация "Release" необязательна):
4c4
< Release: 27%{?dist}
---
> Release: 27.2.019%{?dist}
28a29,31
> Patch17: bash30-017
> Patch18: bash30-018
> Patch19: bash30-019
110c113,116
< #%patch16 -p0 -b .016
---
> %patch16 -p0 -b .016
> %patch17 -p0 -b .017
> %patch18 -p0 -b .018
> %patch19 -p0 -b .019
RHEL 4 находится в фазе "продленного срока службы", и обновления безопасности будут доступны только платящим клиентам. CentOS 4 больше не поддерживается с марта 2012 года. С этого времени дальнейшие обновления для этого недоступны.
Ваши единственные варианты
- Купить контракт на поддержку с RedHat
- Попробуйте создать свой собственный пакет для Bash.
- Или победный вариант: отключите эту машину и используйте эту проблему в качестве стимула для этого.
Добрая душа по имени Льюис Розенталь разместила обновленную Bash RPMS для CentOS 4 на своем FTP-сервере. Считается, что скорость вращения bash-3.0-27.3 соответствует CVE-2014-6271, CVE-2014-7169, CVE-2014-7186 и CVE-2014-7187. У него есть README с дополнительной информацией, и на форумах CentOS состоялось некоторое обсуждение. Не забудьте этот полезный сценарий проверки "все в одном" - отметьте, что проверка CVE-2014-7186 завершится неудачно с ошибкой сегментации, но все равно считается, что все в порядке, потому что некоторые другие тесты для этой уязвимости работают нормально.
Я бы сказал, либо следуйте tstaylor7@ tstaylor7, чтобы создать свой собственный исправленный RPM из исходного кода, либо установите выше. Когда я попытался, они оба имели одинаковые результаты в этом скрипте проверки.