紧急：Linux

张小烦

　　以下文件非常重要，请各位认真阅读。
　　关于该漏洞
　　一个被指比“心脏出血”还要严重的Linux安全漏洞被发现，那就是ShellShock: CVE-2014-6271漏洞，可以让攻击者远程执行任意命令，完全控制您的服务器，比“心脏出血”更低的操作门槛，让它比前者更加危险。
　　下面是漏洞提示原文：
　　GNU Bash through 4.3 processes trailing strings after function definitions in the values of envir
　　onment variables， which allows remote attackers to execute arbitrary code via a crafted environment，
　　as demonstrated by vectors involving the ForceCommand feature in OpenSSH sshd， the mod_gi and
　　mod_cgid modules in the Apache HTTP Server， scripts executed by unspecified DHCP clients， and other
　　situations in which setting the environment occurs across a privilege boundary from Bash execution.
　　如何验证：
　　$ env x='() { :;}; echo vulnerable' bash -c 'echo hello'
　　在终端中运行上面的命令，如果返回有vulnerable，就说明这台服务器中枪了。
　　把命令中的bash替换成其他类型的shell，可以检查机器上其他shell是否中枪。
　　如何修复系统Bug
　　GNU官方补丁所在地址：http://seclists.org/oss-sec/2014/q3/650
　　各大发行版的解决方法：
　　Debian：
　　查看http://www.debian.org/security/2014/dsa-3032
　　Ubuntu：
　　查看http://www.ubuntu.com/usn/usn-2362-1
　　修复方法
　　yum -y update bash
　　系统：centos / fredora / redhat / cloudlinux
　　apt-get update  apt-get install bash
　　系统：ubuntu / debian
　　zypper patch --cve=CVE-2014-6217
　　zypper patch --cve=CVE-2014-7169
　　系统：opensuse
　　Fedora:
　　查看http://bugzilla.redhat.com/show_bug.cgi?id=CVE-2014-6271
　　Novel/SuSE:
　　查看http://support.novell.com/security/cve/CVE-2014-6271.html
　　其他发行版也可以参照上面的方法自行编译，或者通过发行版内置的包管理器来更新bash。