Linux Bash严重漏洞修复紧急通知

煎饼

尊敬的阿里云ECS用户：
           您好，日前Linux官方内置Bash中新发现一个非常严重安全漏洞（漏洞参考https://access.redhat.com/security/cve/CVE-2014-6271  ），黑客可以利用该Bash漏洞完全控制目标系统并发起攻击，为了避免您Linux服务器受影响，建议您尽快完成漏洞修补，修复方法如下，请了解！

( ^9 \! `  q0 h$ G" n& J$ i* A5 X特别提醒：目前解决办法是Linux官方提供的解决办法，针对此漏洞Linux官方解决办法仍然有可能会被绕过，后续我们会提供较为彻底的解决办法。

& @8 G2 D! @6 o+ R4 [" S$ v
+ S6 y/ R  K. z【已确认被成功利用的软件及系统】
" G3 O% P+ _" N3 m所有安装GNU bash 版本小于或者等于4.3的Linux操作系统。
- `( g+ ~9 |5 n+ v7 }

" N- P+ _$ _0 q8 e, F【漏洞描述】
7 R' X" [: Q4 V: U# ^: N该漏洞源于你调用的bash shell之前创建的特殊的环境变量，这些变量可以包含代码，同时会被bash执行。

* Y6 z7 |1 p/ L% _& M' k& b- X
; |3 a. r* u" f" z/ }" U& f8 g【漏洞检测方法】
漏洞检测命令：env x='() { :;}; echo vulnerable' bash -c "echo this is a test"   

% z* e  g3 [9 W& G' _
修复前
/ C$ r' e* j* `输出:   
vulnerable  
this is a test   
/ \5 T5 T8 h  z* [  `
. I  A. t8 t. M% C6 L7 p
使用修补方案修复后
bash: warning: x: ignoring function definition attempt
4 h! \5 d7 P& [bash: error importing function definition for `x'
( G0 M" e2 `8 g3 h, [+ Kthis is a test
1 L4 m$ Q: `) V% L0 m特别提示：该修复不会有任何影响，如果您的脚本使用以上方式定义环境变量，修复后您的脚本执行会报错。


【建议修补方案 】
& B- M7 S' j) L7 g1 D! d% b
4 k/ _1 Z- K- [# h% P/ [请您根据Linux版本选择您需要修复的命令， 为了防止意外情况发生，建议您执行命令前先对Linux服务器系统盘打个快照，如果万一出现升级影响您服务器使用情况，可以通过回滚系统盘快照解决。

2 Z( p; K$ s- F$ J. l2 W/ T8 zcentos:
) d7 \2 ~; x3 X, [- R! @7 yyum -y update bash
- \1 H6 z. {! W* s* {
! I1 {( r6 S/ Xubuntu:
6 _4 M+ E! g& w5 B2 f14.04 64bit
, y/ K1 ]" ~- i6 k/ J4 Owget http://mirrors.aliyun.com/fix_stuff/bash_4.3-7ubuntu1.1_amd64.deb && dpkg -i bash_4.3-7ubuntu1.1_amd64.deb

. }: k: J# g2 d2 r, v14.04 32bit
; i7 ]% d3 Y* D+ F6 c# gwget http://mirrors.aliyun.com/fix_stuff/bash_4.3-7ubuntu1.1_i386.deb && dpkg -i  bash_4.3-7ubuntu1.1_i386.deb
# s; S' b" _4 v! T0 x$ H1 M

6 _! m+ G. S/ g- o) s12.04 64bit
9 Y: N" v2 j" F& b6 Q6 mwget http://mirrors.aliyun.com/fix_stuff/bash_4.2-2ubuntu2.2_amd64.deb && dpkg -i  bash_4.2-2ubuntu2.2_amd64.deb
7 O  I2 _6 Q9 v( v5 L
12.04 32bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.2-2ubuntu2.2_i386.deb && dpkg -i  bash_4.2-2ubuntu2.2_i386.deb
: {% k+ T7 H6 f$ A- g) k
" W: p$ i+ [* v( A2 w( J- ~10.× 64bit
7 B' h0 k. t4 T" awget http://mirrors.aliyun.com/fix_stuff/bash_4.1-2ubuntu3.1_amd64.deb && dpkg -i bash_4.1-2ubuntu3.1_amd64.deb

10.× 32bit
wget http://mirrors.aliyun.com/fix_stuff/bash_4.1-2ubuntu3.1_i386.deb && dpkg -i bash_4.1-2ubuntu3.1_i386.deb

6 C( u- }; S, ~& w  u7 L5 K' W
5 O, W/ I) S5 q% e" b6 z9 Vdebian:
- v# J% U' B( v( W- r1 W; h7.5 64bit && 32bit
apt-get -y install --only-upgrade bash

& d& }( v4 M: i0 N! `% Z$ e2 F6.0.x 64bit
0 H( A' a& Z8 o4 h5 K8 Awget http://mirrors.aliyun.com/debian/pool/main/b/bash/bash_4.1-3%2bdeb6u1_amd64.deb &&  dpkg -i bash_4.1-3+deb6u1_amd64.deb
: P  [/ X. P. a. _: _) P6 u. O* ^  D
6.0.x 32bit
( Y. M. }6 ]4 e$ g' f6 L# \wget http://mirrors.aliyun.com/debian/pool/main/b/bash/bash_4.1-3%2bdeb6u1_i386.deb &&  dpkg -i bash_4.1-3+deb6u1_i386.deb
# }6 }* S4 b& n. u1 C3 F
3 n* [3 h8 S' ^5 W7 i* |' Lopensuse:
13.1 64bit
wget http://mirrors.aliyun.com/fix_stuff/bash-4.2-68.4.1.x86_64.rpm && rpm -Uvh bash-4.2-68.4.1.x86_64.rpm


13.1 32bit
" P- q! F: U5 o6 ]. Cwget http://mirrors.aliyun.com/fix_stuff/bash-4.2-68.4.1.i586.rpm && rpm -Uvh bash-4.2-68.4.1.i586.rpm

aliyun linux:
: v* a3 S. u6 t5 m) m' g0 T5 G5.x 64bit
! w$ e4 _% b" D2 E' Nwget http://mirrors.aliyun.com/centos/5/updates/x86_64/RPMS/bash-3.2-33.el5.1.x86_64.rpm && rpm -Uvh bash-3.2-33.el5.1.x86_64.rpm

5.x 32bit
wget http://mirrors.aliyun.com/centos/5/updates/i386/RPMS/bash-3.2-33.el5.1.i386.rpm && rpm -Uvh bash-3.2-33.el5.1.i386.rpm
+ s9 [/ }+ C  M8 e
, L& L6 m4 Z* s: f  U. [
如果有问题，请随时提交工单或者电话联系我们。

2 }7 J3 F( e2 F( B* q' e! H4 W阿里云计算
" S; q/ _6 z& @( h. M; P! D2014年9月25日