bashの脆弱性が発見されて大騒ぎになっています。
GNU bash の脆弱性に関する注意喚起
bash の脆弱性対策について(CVE-2014-6271 等)
任意のコードを実行されてしまう可能性があり、影響が大きく、凪パパも勤務先の各サーバの調査、対応中です。
さて、本サーバ(www.minagi.tv)はといいますと、9/26に更新する前の時点では
bash-4.2.47-3.fc20.x86_64
でした。この時点でテストコードを実行すると、
$ env x='() { :;}; echo vulnerable’ bash -c “echo this is a test”
vulnerable
this is a test
となり、本来意図しない echo vulnerable が実行されてしまっています。
9/26夜にアップデートしたところ、
bash-4.2.47-4.fc20.x86_64
と、4.2.47のままですがとりあえずバージョンが上がっていました。
$ env x='() { :;}; echo vulnerable’ bash -c “echo this is a test”
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x’
this is a test
警告とエラーが出て、意図しないコードは実行されませんでした。
これで対応完了かと思っていたのですが、9/28夜に再度アップデートしたところ、
bash-4.2.48-2.fc20.x86_64
となっていました。テストコードの実行結果は、
$ env x='() { :;}; echo vulnerable’ bash -c “echo this is a test”
this is a test
となり、警告やエラーが表示されなくなっていました。
とりあえず本サーバは対策完了です。あとは勤務先の対策です。
コメント