CentOS 4.x での Shell Shock 対策[UNIXやLinux]
(2014-10-01 09:23:35) by shinoda

< ﾍﾟｰｼﾞ移動: 1 2 >

今回の bash の脆弱性の問題｡Shell Shock という言い方が何となく定着したようで(^^;
ま､ｼｮｯｸだよな｡あの天下の Gnu の bash が･･･と｡

CentOS 5.x〜7.x については Gnu が提供した修正ﾊﾟｯﾁを当てた bash ﾊﾟｯｹｰｼﾞが yum でｲﾝｽﾄｰﾙ出来るんだけど､CentOS 4.x については自力でどうにかするしかない｡
例えば WebARENA からもこんなｱﾅｳﾝｽが｡
　↓
==================== 
 ■対策について
 【CentOS4をご利用のお客さま】
　 CentOS4につきましては､すでに公式ｻﾎﾟｰﾄが終了しているため､
　 ｱｯﾌﾟﾃﾞｰﾄ用ﾚﾎﾟｼﾞﾄﾘの提供はございません｡
　 お客さまにてbashのｿｰｽｺｰﾄﾞを取得し､ｻｰﾊﾞｰ上でｺﾝﾊﾟｲﾙするなど
　 対策をご実施くださいますよう､お願い申し上げます｡
====================

まだ､お客さんのところのｻｰﾊﾞでも CentOS 4.x のままのものがあるので､今回対応した内容をﾒﾓっとく｡(作業は､CentOS 4.9 の上で行った)

1.状況確認

CentOS 4.9
bash 3.0-27.el4
という環境｡
試しに以下のｽｸﾘﾌﾟﾄを実行｡

# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test

echo vulnerable が実行されてしまってるんでｱｶﾝ｡

2.ﾊﾟｯﾁﾚﾍﾞﾙ 16まで当たってるｿｰｽを Gnu のｻｲﾄから入手｡

# wget --no-check-certificate https://ftp.gnu.org/gnu/bash/bash-3.0.16.tar.gz

3.今回の脆弱性に対するﾊﾟｯﾁ(ﾊﾟｯﾁﾚﾍﾞﾙ 17〜19)を入手｡

# wget --no-check-certificate https://ftp.gnu.org/gnu/bash/bash-3.0-patches/bash30-017
# wget --no-check-certificate https://ftp.gnu.org/gnu/bash/bash-3.0-patches/bash30-018
# wget --no-check-certificate https://ftp.gnu.org/gnu/bash/bash-3.0-patches/bash30-019

4.ﾊﾟｯﾁを当てる

# tar xfz bash-3.0.16.tar.gz
# cd bash-3.0.16/
# patch -p0 < ../bash30-017
# patch -p0 < ../bash30-018
# patch -p0 < ../bash30-019

何のｴﾗｰも出ず､無事終了

5.ｺﾝﾊﾟｲﾙからｲﾝｽﾄｰﾙ

# ./configure
# make
# make install

これまた何のｴﾗｰも出さずｻｸっと終了｡

6.ﾃｽﾄ

# which bash
/usr/local/bin/bash

無事ｲﾝｽﾄｰﾙされている｡

# /usr/local/bin/bash
# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
this is a test

うむ｡echo vulnerable が実行されない｡ﾊﾞｯﾁﾘ｡

ところで､このｲﾝｽﾄｰﾙ作業でﾗｲﾌﾞﾗﾘが更新されたせいか､/bin/bash でも脆弱性が解決されているようだ｡

# /bin/bash
# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
this is a test

このとおり､echo vulnerable が実行されなくなっている｡
/bin/bash を削除し､/usr/local/bin/bash にｼﾝﾎﾞﾘｯｸﾘﾝｸしとこうかと思ったんだけど､少し様子を見てみよう｡

< ﾍﾟｰｼﾞ移動: 1 2 >

ｺﾒﾝﾄ投稿
ﾄﾗｯｸﾊﾞｯｸ(1)
次の記事へ >
< 前の記事へ
TOPへ戻る

Powered by
MT4i 3.0.8