Ero sivun ”Shellshock” versioiden välillä

Siirry navigaatioon Siirry hakuun
21 merkkiä lisätty ,  27. syyskuuta 2014
p
pre-tagilla
(Ak: Uusi sivu: '''Shellshock''' tai '''Bashdoor''' (CVE-2014-6271 ja CVE-2014-7169) on haavoittuvuus bash-komentotulkissa. Bugi on ollut olemassa bashin versiosta 1.13 lähtien eli jo vuodest...)
 
p (pre-tagilla)
Rivi 3: Rivi 3:
==Testaus==
==Testaus==
Alkuperäinen haavoittuva versio antaa tulosteen:
Alkuperäinen haavoittuva versio antaa tulosteen:
$ env x='() { :;}; echo haavoittuva' bash -c 'echo testi'
<pre>$ env x='() { :;}; echo haavoittuva' bash -c 'echo testi'
haavoittuva
haavoittuva
testi
testi</pre>


Paikattu versio antaa tulosteen:
Paikattu versio antaa tulosteen:
$ env x='() { :;}; echo haavoittuva' bash -c 'echo testi'
<pre>$ env x='() { :;}; echo haavoittuva' bash -c 'echo testi'
bash: varoitus: x: ignoring function definition attempt
bash: varoitus: x: ignoring function definition attempt
bash: virhe tuotaessa ”x”:n funktiomääritystä
bash: virhe tuotaessa ”x”:n funktiomääritystä
testi
testi</pre>


Paikkauksen jälkeenkin bash kärsii toisesta haavoittuvuudesta, jonka voi testata esimerkiksi näin:
Paikkauksen jälkeenkin bash kärsii toisesta haavoittuvuudesta, jonka voi testata esimerkiksi näin:
$ env X='() { (a)=>\' bash -c "echo echo vuln"; [[ "$(cat echo)" == "vuln" ]] && echo "haavoittuva"
<pre>$ env X='() { (a)=>\' bash -c "echo echo vuln"; [[ "$(cat echo)" == "vuln" ]] && echo "haavoittuva"
bash: X: rivi 1: lauseoppivirhe lähellä odottamatonta avainsanaa ”=”
bash: X: rivi 1: lauseoppivirhe lähellä odottamatonta avainsanaa ”=”
bash: X: rivi 1: `'
bash: X: rivi 1: `'
bash: virhe tuotaessa ”X”:n funktiomääritystä
bash: virhe tuotaessa ”X”:n funktiomääritystä
haavoittuva
haavoittuva</pre>


==Aiheesta muualla==
==Aiheesta muualla==

Navigointivalikko