BASH 远程命令执行（第三次绕过，又要等升级包了）

[cj1324]

来源 HN

http://seclists.org/oss-sec/2014/q3/741

测试
env ls='() { echo vulnerable; }' bash -c ls

顺便收点金币。。

[iptux]

function import feature 还能这样利用

[Showfom]

哎 估计这个漏洞都是黑客玩坏了才丢出来的呢

[bcxx]

这补丁真有完没完啊 ~_~

[dearrrfish]

评论里关于这个是不是vulnerability 还在争论，很多人说这只是未明示的 feature 。

[dearrrfish]

还好公司的服务没用 cgi，而且app 服务器大都是 ASG，直接 scale up 然后 terminate old servers 完事。不过剩下一些独立的 instances 还是让人 patch 到手软。

[bcxx]

@dearrrfish 手软的在这里 ~_~

[wenLiangcan]

Arch 表示已收到更新~
@dearrrfish 在 4.3.026 已经不能这么做了，看来不是 feature...

[xspoco]

没完没了了。。。

[palxex]

4.3.26测试还是有LZ提到的这个问题……

[est]

这个已经影响不如前几个大了。至少cgi会把环境变量都弄成大写

[clino]

刚发现尝试升级bash又有新版本了,但升了以后楼主的测试还是提示 vulnerable

$ env ls='() { echo vulnerable; }' bash -c ls
vulnerable

$ bash --version
GNU bash， 版本 4.3.11(1)-release (x86_64-pc-linux-gnu)
Copyright (C) 2013 Free Software Foundation, Inc.
许可证 GPLv3+: GNU GPL 许可证版本3或者更高 <http://gnu.org/licenses/gpl.html>

This is free software; you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

[jakes]

env ls='() { echo vulnerable; }' bash -c ls
CentOS昨天的更新，正常。

GNU bash, version 4.2.45(1)-release (x86_64-redhat-linux-gnu)
Copyright (C) 2011 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html>

This is free software; you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

[clino]

今天更新了又有一版了,试了已经解决了这个问题了