Làm cách nào để tôi vá RHEL 4 cho các lỗ hổng bash trong CVE-2014-6271 và CVE-2014-7169?


16

Một cơ chế thực thi mã từ xa thông qua Bash đã được báo cáo rộng rãi vào ngày hôm qua và hôm nay (24 tháng 9 năm 2014.) http://seclists.org/oss-sec/2014/q3/650 Được báo cáo là CVE-2014-7169 hoặc CVE-2014 -6271

Vì những lý do quá ngu ngốc để tôi giải thích trước công chúng, tôi chịu trách nhiệm cho một máy chủ chạy RHEL 4 và không đăng ký cập nhật. Tôi có thể xây dựng một bản sao để kiểm tra điều này, nhưng tôi hy vọng ai đó sẽ có câu trả lời trực tiếp.

  1. Có / bin / bash từ Centos 4 đã được vá hay không?
  2. Tôi có thể đặt một Centos 4 / bin / bash (có lẽ đã được vá) vào hệ thống RHEL của mình như một cách giải quyết sẽ mua cho tôi vài tuần không? (Tôi cần đến ngày 10 tháng 12)

Câu trả lời:


21

Một bản vá đã được Oracle cung cấp cho el4:

https://oss.oracle.com/el4/SRPMS-updates/bash-3.0-27.0.1.el4.src.rpm

https://oss.oracle.com/el4/SRPMS-updates/bash-3.0-27.0.2.el4.src.rpm

https://oss.oracle.com/el4/SRPMS-updates/bash-3.0-27.0.3.el4.src.rpm

https://oss.oracle.com/el4/SRPMS-updates/bash-3.0-27.el4.src.rpm

Vì nó là một RPM src, bạn cần phải biên dịch sau đó rpmbuild.

hoặc sử dụng liên kết này để tránh việc xây dựng

http://public-yum.oracle.com/repo/ EntrypriseLinux/EL4/latest/i386/getPackage/bash-

http://public-yum.oracle.com/repo/ EntrypriseLinux/EL4/latest/i386/getPackage/bash-3.0-27.0.3.el4.i386.rpm

Tôi đã thử nghiệm nó trên hệ thống 4.9 i386, vượt qua bài kiểm tra khai thác mà tôi có. (Ted)


1
Phiên bản mới nhất hiện nay là 3.0-27.0.2 : oss.oracle.com/el4/SRPMS-updates/bash-3.0-27.0.2.el4.src.rpm (nguồn) & public-yum.oracle.com/repo/ EnterpriseLinux / EL4 / mới nhất / i386 / Lỗi (i386) - điều này dường như cũng khắc phục sự cố CVE-2014-7169 (được kiểm tra với mã từ access.redhat.com/articles/1200223 ).
Dave James Miller

Oracle vừa đi lên một bậc trong cuốn sách của tôi.
Steve Kehlet

Huh, theo oracle.com/us/support/l Library / Kẻ , Linux 4 chỉ được hỗ trợ cho đến tháng 2 năm 2013. Họ phải có một ngoại lệ. Rất tuyệt.
clacke

Các gói này cũng hoạt động cho Fedora Core 3 và Fedora Core 4.
Gene

Ngoài ra, 64bit 3.0-27.0.3 public-yum.oracle.com/repo/ EntrypriseLinux/EL4/latest/x86_64/ Kẻ
Liam

20

Tôi đã phải vá một máy chủ CentOS 4.9 cũ, vì vậy tôi đã lấy RPM nguồn mới nhất từ ​​Red Hat FTP và thêm bản vá ngược dòng từ FTP FTP. Các bước dưới đây:

Trước tiên, hãy làm theo quy trình "Cài đặt" từ http://bradthemad.org/tech/notes/patching_rpms.php :

echo "%_topdir    /home/$(whoami)/src/rpm" > ~/.rpmmacros
mkdir -p ~/src/rpm/{BUILD,RPMS,SOURCES,SPECS,SRPMS
mkdir -p ~/src/rpm/RPMS/{i386,i486,i586,i686,noarch,athlon}

Sau đó chạy các lệnh sau từ% _topdir của bạn:

cd ~/src/rpm
wget http://ftp.redhat.com/redhat/linux/updates/enterprise/4ES/en/os/SRPMS/bash-3.0-27.el4.src.rpm
rpm -ivh bash-3.0-27.el4.src.rpm
cd SOURCES
wget http://ftp.gnu.org/gnu/bash/bash-3.0-patches/bash30-017
cd ..

Bản vá SpecS / bash.spec với diff này:

4c4
< Release: 27%{?dist}
---
> Release: 27.2%{?dist}
28a29
> Patch17: bash30-017
110c111,112
< #%patch16 -p0 -b .016
---
> %patch16 -p0 -b .016
> %patch17 -p0 -b .017

Sau đó kết thúc với các lệnh sau:

rpmbuild -ba SPECS/bash.spec
sudo rpm -Uvh RPMS/i386/bash-3.0-27.2.i386.rpm

Chỉnh sửa: Các bình luận mới nhất trong Red Hat Bugzilla nói rằng bản vá không đầy đủ. ID mới là CVE-2014-7169.

Chỉnh sửa: Có hai bản vá bổ sung từ gnu.org, do đó, cũng tải chúng xuống cùng thư mục SOURCES:

wget http://ftp.gnu.org/gnu/bash/bash-3.0-patches/bash30-018
wget http://ftp.gnu.org/gnu/bash/bash-3.0-patches/bash30-019

Sau đó, cũng chỉnh sửa tùy chọn số SpecS / bash.spec như sau (tùy chọn đánh số "Phát hành"):

4c4
< Release: 27%{?dist}
---
> Release: 27.2.019%{?dist}
28a29,31
> Patch17: bash30-017
> Patch18: bash30-018
> Patch19: bash30-019
110c113,116
< #%patch16 -p0 -b .016
---
> %patch16 -p0 -b .016
> %patch17 -p0 -b .017
> %patch18 -p0 -b .018
> %patch19 -p0 -b .019

1
+1 cho từng bước, e rằng chúng ta quên cách làm công cụ này.
Steve Kehlet

14

RHEL 4 đang trong giai đoạn "kéo dài tuổi thọ" và các cập nhật bảo mật sẽ chỉ dành cho khách hàng trả tiền. CentOS 4 không còn hỗ trợ kể từ tháng 3 năm 2012. Không có bản cập nhật nào nữa cho việc này kể từ thời điểm này.

Lựa chọn duy nhất của bạn là

  • Mua hợp đồng hỗ trợ với RedHat
  • Cố gắng xây dựng gói riêng của bạn cho Bash.
  • Hoặc tùy chọn chiến thắng: Nghỉ hưu máy này và sử dụng vấn đề bảo mật này như một động lực để làm điều đó.

4
Cảm ơn bạn. Bởi vì tôi đã sử dụng tên thật của mình ở đây, tôi không thể giải thích trước công chúng lý do tại sao tôi không thể nghỉ hưu trước ngày 10 tháng 12. Ditto với lý do tại sao ba phiên bản trở lại không có hợp đồng. Tôi đã nêu lên câu trả lời của bạn, và cảm ơn. Tôi sẽ chấp nhận nó nếu không ai đến giải cứu sớm.
Bob Brown

2
@BobBrown là gì? Bạn thực sự đã sử dụng tên hư cấu mà tôi sử dụng cho các tài khoản quản trị của mình. Kỳ dị.
HoplessN00b

6
Tôi trách bố mẹ tôi.
Bob Brown

2

Một linh hồn tốt bụng tên là Lewis Rosenthal đã đặt Bash RPMS cập nhật cho CentOS 4 lên trên máy chủ FTP của mình . Bash-3.0-27.3 RPM được cho là có địa chỉ CVE-2014-6271, CVE-2014-7169, CVE-2014-7186 và CVE-2014-7187. Anh ta có một README với nhiều thông tin hơn, và đã có một số cuộc thảo luận trên các diễn đàn CentOS. Đừng quên tập lệnh kiểm tra tất cả trong một hữu ích này - lưu ý rằng kiểm tra CVE-2014-7186 sẽ không thành công với lỗi phân đoạn, nhưng nó vẫn được tin là ổn, bởi vì một số thử nghiệm khác cho lỗ hổng đó vẫn ổn.

Tôi có thể nói, hoặc làm theo hướng dẫn của @ tstaylor7 để xây dựng RPM được vá của riêng bạn từ nguồn hoặc cài đặt ở trên. Khi tôi thử, cả hai đều có cùng kết quả trong kịch bản kiểm tra đó.

Khi sử dụng trang web của chúng tôi, bạn xác nhận rằng bạn đã đọc và hiểu Chính sách cookieChính sách bảo mật của chúng tôi.
Licensed under cc by-sa 3.0 with attribution required.