https://ssl.opennet.dev/openforum/vsluhforumID3/99038.html Выявлены (https://www.reddit.com/r/netsec/comments/2hbxtc/cve20146271_remote_code_execution_through_bash/ckro7be) методы (CVE-2014-7169) обхода патча, представленного вчера для устранения критической уязвимости в Bash. Для решения проблемы подготовлен новый патч (http://www.openwall.com/lists/oss-security/2014/09/25/10). В дистрибутивах проблема пока остаётся неисправленной.<br><br><br><br>Для проверки на наличие обходного пути эксплуатации уязвимости можно (https://bugzilla.redhat.com/show_bug.cgi?id=1141597#c24) использовать (http://seclists.org/oss-sec/2014/q3/685) команду (успешно срабатывает после установки вчерашнего обновления bash в Ubuntu и Debian):<br><br><br>&lt;font color="#461b7e"&gt;<br> env X='() { (a)=&gt;\' sh -c "echo date"; cat echo<br>&lt;/font&gt;<br><br><br><br>Кроме того, уже проведены (http://blog.erratasec.com/2014/09/bash-shellshock-scan-of-internet.html) попытки массового сканирования серверов на предмет наличия уязвимости в Bash. Первый же эксперимент выявил около 3 тысяч хостов, подверженных уязвимости в Bash при запросе к https://ssl.opennet.dev/openforum/vsluhforumID3/99038.html#130 Wed, 08 Oct 2014 14:45:41 GMT &gt;поэтому bash^Wшелл не нужен".<br>&gt; Ну, продолжай цепочку дальше! "Потому, что линуксойды относятся к разновидности хомо, именуемой <br>&gt; No_Script и скрипты не умеют даже читать, не то, что писать". <br>&gt; :)))))) <br><br>Немедленно патчите броузер! У вас тэг сарказьм http:/openforum/vsluhforumID3/99256.html#29 в нём сломан -- уязвимость. //Ну или комбо "двойной сарказм" не удалось. Тренеруйтесь ещё!<br> https://ssl.opennet.dev/openforum/vsluhforumID3/99038.html#129 Wed, 08 Oct 2014 14:24:23 GMT &gt; В альте баш - дефолт, хотя у Шигорина может быть что угодно. <br><br>zsh, разумеется. :)<br> https://ssl.opennet.dev/openforum/vsluhforumID3/99038.html#127 Wed, 08 Oct 2014 14:15:57 GMT &gt; Тухлость тоже вариант, это да.<br><br>(ехидно) Расскажи это ВВС США после войны в Югославии. <br><br>"Продается два слегка побитых F-117. Самовывоз из Югославии"<br><br>Слегка тухлые радары 60х их видели как стеклянных. Ну и, соответственно, палить в них можно было. <br><br>Видаль сосун, как резво 117е после войны вывели из обращения? :D<br> https://ssl.opennet.dev/openforum/vsluhforumID3/99038.html#125 Wed, 08 Oct 2014 14:11:42 GMT &gt;&gt;&gt; Думаю, надо написать новый шелл для системдос, а баш выкинуть.<br>&gt;&gt; В системдос не должно быть шелла, ибо лишний вектор уязвимости, и Леннарт <br>&gt;&gt; не одобряет.<br>&gt; Не, уязвимсость это новое. Основная архитектурная идея s-d ещё c самого начала <br>&gt; была "любую проблему можно решить конфигом из 5 строчек(*1), поэтому bash^Wшелл <br>&gt; не нужен".<br><br>Ну, продолжай цепочку дальше! "Потому, что линуксойды относятся к разновидности хомо, именуемой No_Script и скрипты не умеют даже читать, не то, что писать". :))))))<br><br> https://ssl.opennet.dev/openforum/vsluhforumID3/99038.html#122 Sun, 05 Oct 2014 05:08:30 GMT &gt; шшшшш тихо!<br>&gt; а то поцтеринг услышит <br><br>он спит<br><br><br> https://ssl.opennet.dev/openforum/vsluhforumID3/99038.html#121 Sat, 04 Oct 2014 18:31:59 GMT патчи к башу ваять - все равно что воду ситом вычерпывать.<br> https://ssl.opennet.dev/openforum/vsluhforumID3/99038.html#120 Mon, 29 Sep 2014 13:37:29 GMT Однако же<br>$env X='() { (a)=&gt;\' sh -c "echo date"; cat echo<br>date<br>cat: echo: No such file or directory<br> https://ssl.opennet.dev/openforum/vsluhforumID3/99038.html#119 Sun, 28 Sep 2014 11:34:51 GMT &gt;Во фре /bin/sh - это стопроцентно не баш, так что меняйте в приведенной в посте команде sh на bash.<br><br>но у меня bash не установлен на FreeBSD.<br>т.е. для активации уязвимости мне необходимо сначала поставить bash из портов?<br><br>-- <br>вы бы тогда уточняли, что это только для тех, у кого установлен bash.<br> https://ssl.opennet.dev/openforum/vsluhforumID3/99038.html#118 Sat, 27 Sep 2014 12:57:21 GMT &gt;&gt; Лично я ассоциирую Red Hat с Microsoft (только уже в мире СПО).<br>&gt; Ну да, такие фаготы - 25% работы над ядром воротят. А в <br>&gt; благодарность их с MS сравнивают. Довольно свинский подход.<br><br>25%? Откуда у вас такая информация? Больше всего вносит Intel, и его доля и то лишь 10%. Но а так, даже Microsoft был некоторое время в top-листе contributor-ов ядра Linux, хотя их основная деятельность направлена не на СПО... А представьте, если бы они специализировались именно на СПО, то что было бы?<br><br>В общем, IMHO, это не показатель. А вот то, какие стандарты и подходы они используют и пытаются проталкивать -- это уже более показательно. Облачности, systemd, GFS2 (который хрен где заведётся, кроме как на их ядре) и т.п.<br>