Bash aktualisiert sich nicht

TimSch · 27. September 2014

Hallo,
ich versuche seit gestern mein Bash zu patchen.
Auf herkömmlichem Wege habe ich upgrade und update durchgeführt, Bash wurde dabei allerdings offensichtlich nicht berücksichtigt. Die Version war die gleiche und der Exploit funktioniert nach wie vor.
Ich habe Debian 7, also Wheezy.

Kann mir jemand nen Rat geben?

Vielen Dank
Akhanto

perryflynn · 27. September 2014

Welche befehle hast du probiert und was war die Ausgabe?

TimSch · 27. September 2014

apt-get upgrade
und
apt-get update

Die Ausgabe war hier die gewöhnliche, nur dass eben Bash nicht als Paket mit aufgeführt wurde.

Rayne · 27. September 2014

Zitat von Akhanto

apt-get upgrade
und
apt-get update

Die Ausgabe war hier die gewöhnliche, nur dass eben Bash nicht als Paket mit aufgeführt wurde.

In dieser Reihenfolge? Dann kein Wunder, dass es kein Update gab.

Code

apt-get update && apt-get upgrade

TimSch · 27. September 2014

Nein die Reihenfolge war andersrum.. Sry!
Hier die Ausgabe..

Code

apt-get update && apt-get upgrade
Hit http://security.debian.org squeeze/updates Release.gpg
Hit http://debian.froxlor.org squeeze Release.gpg
Hit http://security.debian.org squeeze/updates Release
Hit http://debian.froxlor.org squeeze Release
Hit http://ftp.de.debian.org squeeze Release.gpg
Hit http://security.debian.org squeeze/updates/main Sources
Get:1 http://ftp.de.debian.org squeeze-updates Release.gpg [836 B]
Hit http://security.debian.org squeeze/updates/main amd64 Packages
Hit http://debian.froxlor.org squeeze/main amd64 Packages
Hit http://ftp.de.debian.org wheezy Release.gpg
Hit http://ftp.de.debian.org squeeze Release
Ign http://security.debian.org squeeze/updates/main Translation-en
Get:2 http://ftp.de.debian.org squeeze-updates Release [113 kB]
Ign http://debian.froxlor.org squeeze/main Translation-en
Hit http://ftp.de.debian.org wheezy Release
Hit http://ftp.de.debian.org squeeze/main Sources
Hit http://ftp.de.debian.org squeeze/main amd64 Packages
Get:3 http://ftp.de.debian.org squeeze-updates/main Sources/DiffIndex [4093 B]
Get:4 http://ftp.de.debian.org squeeze-updates/main amd64 Packages/DiffIndex [4093 B]
Hit http://ftp.de.debian.org wheezy/main amd64 Packages
Hit http://ftp.de.debian.org wheezy/main Translation-en
Get:5 http://ftp.de.debian.org squeeze-updates/main amd64 Packages [5374 B]
Ign http://ftp.de.debian.org squeeze-updates/main Translation-en
Fetched 128 kB in 0s (317 kB/s)
Reading package lists... Done
Reading package lists... Done
Building dependency tree
Reading state information... Done
The following packages have been kept back:
  bind9 bind9-host bind9utils binfmt-support bison dbus dnsutils file-roller gettext gettext-base git grub-common grub-pc ia32-libs ia32-libs-gtk
  lib32gmpxx4 lib32ncurses5 lib32v4l-0 libdrm-intel1 libgl1-mesa-dri libgl1-mesa-glx libgmp3-dev libgmpxx4ldbl libgnome-keyring0 liblockfile1 libnspr4-0d
  libnss3-1d libpam-modules libstartup-notification0 libv4l-0 linux-image-2.6-amd64 lvm2 man-db module-init-tools mutt ntfs-3g passwd procps
  python-reportbug reportbug rpm rpm-common rpm2cpio udisks x11-utils
0 upgraded, 0 newly installed, 0 to remove and 45 not upgraded.

Alles anzeigen

WolfgangV · 27. September 2014

Bin jetzt nicht so firm mit Debian aber du hast verdammt viele squeeze sourcen in deiner liste für ein wheezy.....
bzw. sehe ich nur

Code

Hit http://ftp.de.debian.org wheezy Release.gpg
Hit http://ftp.de.debian.org wheezy Release

für wheezy .... vermisse da sowas wie

Code

deb http://http.debian.net/debian wheezy main
deb http://http.debian.net/debian wheezy-updates main
deb http://security.debian.org/ wheezy/updates main

.... das fällt mir so auf den ersten Blick auf.

TimSch · 27. September 2014

Ich hatte versucht das Squeeze in Wheezy zu ändern, da hat er sich aber bei nem update über doppelte Sources beschwert.

Der benutzte Befehl war apt-get update

Code

W: Duplicate sources.list entry http://ftp.de.debian.org/debian/ wheezy/main amd64 Packages (/var/lib/apt/lists/ftp.de.debian.org_debian_dists_wheezy_main_binary-amd64_Packages)
W: You may want to run apt-get update to correct these problems

WolfgangV · 27. September 2014

naja ist jetzt grad schwer nachzuvollziehen..... ich empehle dir mal ganz stark eine apt.sources entsprechend anzupassen:
SourcesList - Debian Wiki

im Endeffekt erstmal das rein und was in einen "alten" listen eben noch so rumschwirrt... weiß wie gesagt nicht wie es in debian so ist, ich hab z.B. auch /etc/apt/sources.list.d/ als Verzeichnis zur Verfügung in welches ich eben "spezielle" repos reinpakte.... wenn du auch sowas zur Verfügung hast würde ich es nutzen...

TimSch · 27. September 2014

Danke für die Sources, Bash wurde jetzt auf 4.3.26(1) aktualisiert, der Exploit funktioniert allerdings nach wie vor.

Rayne · 28. September 2014

Zitat von Akhanto

Danke für die Sources, Bash wurde jetzt auf 4.3.26(1) aktualisiert, der Exploit funktioniert allerdings nach wie vor.

Hast Du nach dem Upgrade auch eine neue BASH gestartet oder die alte, angreifbare, getestet?

TimSch · 5. Oktober 2014

Wie doof kann man sein.. Na Ja, nach deinem Tipp habe ich neu gestartet und beim Test von dieser Seite bin ich "nur" noch für CVE-2014-6277 (segfault) und CVE-2014-6278 angreifbar.

(CVE-2014-6278)

Code

shellshocker='() { echo You are vulnerable; }' bash -c shellshocker

(CVE-2014-6277)

Code

bash -c "f() { x() { _;}; x() { _;} <<a; }" 2>/dev/null || echo vulnerable

kerberos · 5. Oktober 2014

Ich kann mit einem weniger dienen. Bei mir wird nur der 6277 als "Vulnerable" ausgeworfen.

Dirk67 · 8. Oktober 2014

ich habe von dieser schon genannten Seite Shellshock BASH Vulnerability Tester
das dort angebotene updatescript

Code

curl https://shellshocker.net/fixbash | sh

benutzt (vorher eine Sicherung erstellen).

Einmal auf debian squeeze (6.x) (vorher auf LTS umgestellt LTS/Using - Debian Wiki )
und dann auch noch auf debian wheezy (7.x)

Es lief in beiden Fällen ohne Probleme durch und alle 7 exploits wurden anschl. (eine neue bash starten) bestanden.

man benötigt dazu die Pakete "patch", "curl", "gcc" und "make",
sofern nicht schon installiert.
also ggf. vorher nötig:

Code

apt-get install patch
apt-get install curl
apt-get install gcc
apt-get install make

perryflynn · 8. Oktober 2014

Dieses Script ist keine gute Idee.

Man Trickst damit die Paketverwaltung aus. Bash ist ab diesem Zeitpunkt nicht mehr von der Paketverwaltung verwaltet sondern liegt einfach im System rum.

Nutzt doch einfach die LTS Quellen für Squeeze oder Upgraded zu Wheezy.
Wheezy wäre hier die sowieso die sicherste Lösung.

//edit
Übrigens cool das es noch Leute gibt, die ein Script aus einer unsicheren Quelle welches als root ausgeführt werden muss, einfach blind mit einem Oneliner ausführt.

//edit2
Außerdem ist es bescheuert, dass dieses Script die Bash noch in /usr/local/bin kopiert. Unter Debian liegt die Bash nur unter /bin/.

Dragon · 8. Oktober 2014

Zitat von perryflynn

Man Trickst damit die Paketverwaltung aus. Bash ist ab diesem Zeitpunkt nicht mehr von der Paketverwaltung verwaltet sondern liegt einfach im System rum.

Und erhält damit keinerlei Updates mehr... Also sollten noch weitere Sicherheitslücken gefunden werden, kann das böse enden.

Dirk67 · 8. Oktober 2014

Zitat von perryflynn

Nutzt doch einfach die LTS Quellen für Squeeze oder Upgraded zu Wheezy.
Wheezy wäre hier die sowieso die sicherste Lösung.

weder Squeeze LTS noch Wheezy liefern derzeit ein vollständig gepatchtes Bash aus.

Zitat von perryflynn

Man Trickst damit die Paketverwaltung aus. Bash ist ab diesem Zeitpunkt nicht mehr von der Paketverwaltung verwaltet sondern liegt einfach im System rum.

das kann man ja hinterher wieder gerade ziehen ...

perryflynn · 8. Oktober 2014

Die Shellshock Lücke ist mittlerweile in den Major Linux Distributionen gefixt:

http://metadata.ftp-master.deb…dfsg-0.1+deb7u3_changelog

Was Du jetzt als "nicht vollständig" bezeichnest, sind weitere Fehler im Funktionsparser, die zwar doof sind, aber nicht von außen ausnutzbar sind.

Dragon · 8. Oktober 2014

Zitat von Dirk67

weder Squeeze LTS noch Wheezy liefern derzeit ein vollständig gepatchtes Bash aus.

Alle extern ausnutzbaren Lücken (CVE-2014-6271, CVE-2014-6277, CVE-2014-6278, CVE-2014-7169, CVE-2014-7186 und CVE-2014-7187) sind sowohl in squeeze-lts als auch in wheezy behoben: Information on source package bash