Linux Bash严重漏洞修复紧急通知

煎饼

尊敬的阿里云ECS用户：
           您好，日前Linux官方内置Bash中新发现一个非常严重安全漏洞（漏洞参考https://access.redhat.com/security/cve/CVE-2014-6271  ），黑客可以利用该Bash漏洞完全控制目标系统并发起攻击，为了避免您Linux服务器受影响，建议您尽快完成漏洞修补，修复方法如下，请了解！
& C/ }9 h1 L5 v2 x  I" m
特别提醒：目前解决办法是Linux官方提供的解决办法，针对此漏洞Linux官方解决办法仍然有可能会被绕过，后续我们会提供较为彻底的解决办法。
. Q$ a# f: H" K* m% S2 l; u& Q

$ X+ ]$ |6 z0 B( h【已确认被成功利用的软件及系统】
所有安装GNU bash 版本小于或者等于4.3的Linux操作系统。


【漏洞描述】
该漏洞源于你调用的bash shell之前创建的特殊的环境变量，这些变量可以包含代码，同时会被bash执行。


【漏洞检测方法】
; U+ ~  t% O* y$ s8 x' T漏洞检测命令：env x='() { :;}; echo vulnerable' bash -c "echo this is a test"   

: l9 O$ r% ^& n/ u5 {" v3 D
9 f; \7 f( f8 ~; m* J3 U0 l! l修复前
* O+ a0 _/ G: m) X输出:   
7 z- ^9 Y9 m0 b& H& w5 v5 fvulnerable  
this is a test   

1 v6 B  G  u* L; j5 ?
2 w- D, q0 f) f# j4 U使用修补方案修复后
bash: warning: x: ignoring function definition attempt
+ i* V1 ?8 y8 _/ ^, rbash: error importing function definition for `x'
! w+ X* L; v- v4 r0 g1 Cthis is a test
特别提示：该修复不会有任何影响，如果您的脚本使用以上方式定义环境变量，修复后您的脚本执行会报错。
: [) B+ s3 V$ n- T" W) I

5 ?9 y8 Q2 Y9 n, s. i【建议修补方案 】
6 ^1 R, k6 H' D4 v0 w: M: a
% W- H7 ^  s3 y; ~% C3 v, @" `2 }请您根据Linux版本选择您需要修复的命令， 为了防止意外情况发生，建议您执行命令前先对Linux服务器系统盘打个快照，如果万一出现升级影响您服务器使用情况，可以通过回滚系统盘快照解决。
$ V' r5 ^/ m; j
centos:
1 Y+ m  u1 v) ]) V3 f/ X0 m9 gyum -y update bash
& i! P8 a& ~4 [
ubuntu:
14.04 64bit
& M# L, E0 R5 ]" q, H- c, E! [wget http://mirrors.aliyun.com/fix_stuff/bash_4.3-7ubuntu1.1_amd64.deb && dpkg -i bash_4.3-7ubuntu1.1_amd64.deb

- A) C/ V7 n5 U( {/ h6 C$ r14.04 32bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.3-7ubuntu1.1_i386.deb && dpkg -i  bash_4.3-7ubuntu1.1_i386.deb
  c/ R. _/ {$ @3 d$ o4 K
0 o* A( _. z5 `, R" O; _! u2 X
12.04 64bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.2-2ubuntu2.2_amd64.deb && dpkg -i  bash_4.2-2ubuntu2.2_amd64.deb

12.04 32bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.2-2ubuntu2.2_i386.deb && dpkg -i  bash_4.2-2ubuntu2.2_i386.deb
, G# }! G2 m. G" Q7 ?( G
10.× 64bit
  X/ L* w( B" Z$ mwget http://mirrors.aliyun.com/fix_stuff/bash_4.1-2ubuntu3.1_amd64.deb && dpkg -i bash_4.1-2ubuntu3.1_amd64.deb
6 W* D/ n' A9 a- c) U
# y* J  Z7 ^) c10.× 32bit
1 o  T* C4 S$ Dwget http://mirrors.aliyun.com/fix_stuff/bash_4.1-2ubuntu3.1_i386.deb && dpkg -i bash_4.1-2ubuntu3.1_i386.deb
$ ]" o' A% ?* c* _) A: ~9 i6 q2 d

debian:
4 c4 }5 p1 t% @# Y  C& w- O7.5 64bit && 32bit
apt-get -y install --only-upgrade bash

3 g) _4 w& @$ W5 Z/ H4 ~' P1 _" D6.0.x 64bit
, e! D7 ^1 ^% ywget http://mirrors.aliyun.com/debian/pool/main/b/bash/bash_4.1-3%2bdeb6u1_amd64.deb &&  dpkg -i bash_4.1-3+deb6u1_amd64.deb

: Q6 |3 {& W, j" x6.0.x 32bit
wget http://mirrors.aliyun.com/debian/pool/main/b/bash/bash_4.1-3%2bdeb6u1_i386.deb &&  dpkg -i bash_4.1-3+deb6u1_i386.deb
! K2 Q% r- o1 G% o# ~0 M7 j
3 @4 e" S3 \- |4 O6 topensuse:
7 D& K7 r* o# A& b5 a6 @  S7 K& \13.1 64bit
wget http://mirrors.aliyun.com/fix_stuff/bash-4.2-68.4.1.x86_64.rpm && rpm -Uvh bash-4.2-68.4.1.x86_64.rpm


13.1 32bit
3 f* t/ O6 r- g5 ^( ]* _wget http://mirrors.aliyun.com/fix_stuff/bash-4.2-68.4.1.i586.rpm && rpm -Uvh bash-4.2-68.4.1.i586.rpm

2 C: i, E& K5 O5 M0 I$ Z7 }2 r, y7 C" ~aliyun linux:
5.x 64bit
wget http://mirrors.aliyun.com/centos/5/updates/x86_64/RPMS/bash-3.2-33.el5.1.x86_64.rpm && rpm -Uvh bash-3.2-33.el5.1.x86_64.rpm
& G4 {5 P0 {9 }9 Q5 ~% G- P
5.x 32bit
1 Z0 o# I7 F  j, q7 jwget http://mirrors.aliyun.com/centos/5/updates/i386/RPMS/bash-3.2-33.el5.1.i386.rpm && rpm -Uvh bash-3.2-33.el5.1.i386.rpm
1 T' {+ U' q* S0 X- g1 j
# l) _" F8 \8 f% o' M
如果有问题，请随时提交工单或者电话联系我们。

阿里云计算
2014年9月25日