Como eu faço o patch do RHEL 4 para as vulnerabilidades do bash no CVE-2014-6271 e no CVE-2014-7169?

Question

Um mecanismo para execução remota de código por meio do Bash foi amplamente divulgado ontem e hoje (24 de setembro de 2014). link Relatado como CVE-2014-7169 ou CVE-2014-6271

Por razões muito estúpidas para eu explicar em público, sou responsável por um servidor executando o RHEL 4 e sem assinatura de atualização. Eu poderia construir um clone para testar isso, mas espero que alguém tenha uma resposta direta.

1. O / bin / bash do Centos 4 foi corrigido ou será?
2. Posso simplesmente colocar um (supostamente remendado) Centos 4 / bin / bash no meu sistema RHEL como uma solução alternativa que me comprará várias semanas? (Eu preciso até 10 de dezembro)

Answer 1

Um patch foi fornecido pela Oracle para el4:

link

link

link

link

Como é um RPM src, você precisa compilar rpmbuild .

ou use este link para evitar a compilação

link

link

Eu testei em um sistema 4.9 i386, passei no teste de exploit que tenho. (Ted)

    

Answer 2

Eu tive que consertar um servidor antigo do CentOS 4.9, então eu peguei o RPM de origem mais recente do FTP da Red Hat e adicionei o patch upstream do FTP da GNU. Os passos estão abaixo:

Primeiro, siga o procedimento "Configuração" do link .

Em seguida, execute os seguintes comandos do seu% _topdir:

wget http://ftp.redhat.com/redhat/linux/updates/enterprise/4ES/en/os/SRPMS/bash-3.0-27.el4.src.rpm
rpm -ivh bash-3.0-27.el4.src.rpm
cd SOURCES
wget http://ftp.gnu.org/gnu/bash/bash-3.0-patches/bash30-017
cd ..

Patch SPECS / bash.spec com este diff:

4c4
< Release: 27%{?dist}
---
> Release: 27.2%{?dist}
28a29
> Patch17: bash30-017
110c111,112
< #%patch16 -p0 -b .016
---
> %patch16 -p0 -b .016
> %patch17 -p0 -b .017

Depois termine com estes comandos:

rpmbuild -ba SPECS/bash.spec
sudo rpm -Uvh RPMS/i386/bash-3.0-27.2.i386.rpm

Se alguém souber uma maneira fácil de fazer upload deles, colocarei minha fonte e RPM.

Edit: Os últimos comentários no Red Hat Bugzilla dizem que o patch está incompleto. O novo ID é CVE-2014-7169.

Edit: Existem dois patches adicionais do gnu.org, então baixe-os no mesmo diretório SOURCES:

wget http://ftp.gnu.org/gnu/bash/bash-3.0-patches/bash30-018
wget http://ftp.gnu.org/gnu/bash/bash-3.0-patches/bash30-019

Em seguida, edite também o SPECS / bash.spec da seguinte forma (numeração "Release" opcional):

4c4
< Release: 27%{?dist}
---
> Release: 27.2.019%{?dist}
28a29,31
> Patch17: bash30-017
> Patch18: bash30-018
> Patch19: bash30-019
110c113,116
< #%patch16 -p0 -b .016
---
> %patch16 -p0 -b .016
> %patch17 -p0 -b .017
> %patch18 -p0 -b .018
> %patch19 -p0 -b .019

    

Answer 3

O RHEL 4 está em fase de "duração prolongada" e as atualizações de segurança estarão disponíveis apenas para clientes pagantes. O CentOS 4 está fora de suporte desde março de 2012. Nenhuma atualização adicional está disponível para isso desde esse momento .

Suas únicas opções são

• Compre um contrato de suporte com o RedHat
• Tente criar seu próprio pacote para o Bash.
• Ou a opção vencedora: aposentar esta máquina e usar esse problema de segurança como um incentivo para fazê-lo.

Answer 4

Uma alma gentil chamada Lewis Rosenthal colocou o Bash RPMS atualizado para o CentOS 4 em seu servidor FTP . Acredita-se que o RPM-3.0-27.3 RPM atenda às normas CVE-2014-6271, CVE-2014-7169, CVE-2014-7186 e CVE-2014-7187. Ele tem um README com mais informações e havia alguma discussão nos fóruns do CentOS. Não se esqueça do este útil script de verificação all-in-one - observe que o CVE-2014- 7186 a verificação falhará com uma falha de segmentação, mas ainda assim acredita-se que esteja bem, porque alguns outros testes para essa vulnerabilidade aparecem bem.

Eu diria, siga @a tstaylor7 's instruções para construir o seu próprio RPM corrigido a partir da fonte ou instalar o acima. Quando tentei, os dois tiveram os mesmos resultados no script de verificação.