根據資訊網站報導,最近國外資安網站發現了一個名為 Shellshock(CVE-2014-6271和CVE-2014-7169)的資安漏洞,可能導致使用 Bash Shell 的作業系統(包括 Linux、Unix 為基礎平臺、Mac OSX),皆曝露在駭客遠端入侵的風險之中,甚至路由器或部份使用 Bash 的 Windows 伺服器與 Android 系統等都有可能受害。所以資安專家建議若不是馬上修補,就是先暫時將將預設Bash Shell 關閉。

 

如何在本地端做測試?

在命令列下輸入:

env VAR='() { :;}; echo Bash is vulnerable!' bash -c "echo Bash Test"

 

如果 Bash 有問題,它就會返回以下字串:

Bash is vulnerable!
Bash Test

否則,它應該是返回這樣子的訊息:

bash: warning: VAR: ignoring function definition attempt
bash: error importing function definition for `VAR'
Bash Test

 

如何做遠端測試?

以上方式也只能證明 Bash 有問題,並不代表駭客就能利用 Bash 來入侵系統,個人使用的電腦也不用害怕,倒是網站就要注意了。駭客已經開始嘗試用網路掃描,來尋找存在 Bash 弱點的伺服器。因此,網路上已經有提供利用遠端做測試,例如以下兩個測試網站:

  1. http://shellshock.brandonpotter.com/
  2. http://www.shellshocktest.com/

不過測試結果也寫『www.xxxx.com seems to be safe, though we can’t be sure.』,所以還是真正的將漏洞補起來比較安心一點。

 

如何做 Bash 更新?

Ubuntu / Debian 作業系統:

sudo apt-get update && sudo apt-get install --only-upgrade bash

CentOS / Red Hat / Fedora 作業系統:

sudo yum check-update
sudo yum update bash

至於使用 Mac OSX 做伺服器的,要等帶官方釋放更新檔了。若是想要自行更新的,請安裝 Brew,詳細方法請參考:http://security.stackexchange.com/questions/68202/how-to-patch-bash-on-osx-in-wake-of-shellshock
(2014/09/30 更正:Mac 已施出更新檔,連結在最下方)

 

2014/09/29 補充:
WordPress 如何利用外掛檢查 Shellshock 漏洞?

 
2014/09/30 補充:
mac 釋出更新檔了,請到這網址來下載:
http://support.apple.com/kb/DL1769

如何檢查和修補 Shellshock 漏洞(CVE-2014-6271)
標籤:            

發表迴響