Bash bug : Différence entre versions
(→QNAP) |
|||
(3 révisions intermédiaires par un utilisateur sont masquées) | |||
Ligne 1 : | Ligne 1 : | ||
+ | <!-- Links checked 29/10/18 --> | ||
[[Catégorie:Linux]] | [[Catégorie:Linux]] | ||
− | '''[[Lien court]]''' vers cette page : | + | [[Catégorie:Sécurité]] |
− | '''[[QR code]]''' vers cette page : | + | '''[[Lien court]]''' vers cette page : https://vt.cx/Bbug |
− | + | '''[[QR code]]''' vers cette page : https://vt.cx/Bbug.qr | |
<html> | <html> | ||
<script type="text/javascript"><!-- | <script type="text/javascript"><!-- | ||
Ligne 13 : | Ligne 14 : | ||
</script> | </script> | ||
<script type="text/javascript" | <script type="text/javascript" | ||
− | src=" | + | src="//pagead2.googlesyndication.com/pagead/show_ads.js"> |
</script> | </script> | ||
</html> | </html> | ||
− | + | ||
= Présentation = | = Présentation = | ||
− | Découverte par | + | Découverte par Stéphane Chazelas (https://stephane.chazelas.free.fr), la vulnérabilité du '''[[Bash]] ([[Bourne-Again Shell]])''' affecte plusieurs millions de '''[[Linux]]''' et plus particulièrement ceux dont les bash des '''[[versions]]''' listées plus bas. Le présent article vise à regrouper toutes les informations relatives à la détection et l'éradication du '''[[Bash]] bug''' aussi désigné sous le terme de Shellshock. Selon Neowin des périphériques '''[[NAS]]''' des marques Synology et QNAP sont impactés<ref>[http://www.neowin.net/news/shellshock-bug-impacts-nas-devices-like-qnap-and-synology Neowin - 27/09/14] Shellshock bug impacts '''[[NAS]]''' devices like QNAP and Synology</ref><br/> |
<br/> | <br/> | ||
'''[[GNU Bash]] concernés''' : | '''[[GNU Bash]] concernés''' : | ||
Ligne 80 : | Ligne 81 : | ||
rpm -q bash (RedHat, Fedora, CentOS) | rpm -q bash (RedHat, Fedora, CentOS) | ||
− | = Liens utiles = | + | = [[Liens]] utiles = |
== Informations == | == Informations == | ||
* [https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6271 National Vulnerability Database] '''CVE-2014-6271 [[Bash]]''' Bug | * [https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6271 National Vulnerability Database] '''CVE-2014-6271 [[Bash]]''' Bug | ||
− | * [ | + | * [https://thehackernews.com/2014/09/bash-shell-vulnerability-shellshock.html The Hacker News] Remotely Exploitable '''[[Bash Shell]]''' Vulnerability Affects '''[[Linux]], Unix''' and '''[[Apple Mac OS X]]''' |
− | * [ | + | * [https://seclists.org/oss-sec/2014/q3/679 seclist.org] '''CVE-2014-6271''': remote code execution through '''[[bash]]''' |
* [https://securityblog.redhat.com/2014/09/24/bash-specially-crafted-environment-variables-code-injection-attack/ securityblog.redhat.com] '''[[Bash]]''' specially-crafted environment variables code injection attack | * [https://securityblog.redhat.com/2014/09/24/bash-specially-crafted-environment-variables-code-injection-attack/ securityblog.redhat.com] '''[[Bash]]''' specially-crafted environment variables code injection attack | ||
Ligne 97 : | Ligne 98 : | ||
=== CentOS === | === CentOS === | ||
− | * [ | + | * [https://lists.centos.org/pipermail/centos/2014-September/146099.html lists.centos.org] [CentOS] Critical update for '''[[bash]]''' released today |
sudo yum update bash | sudo yum update bash | ||
Ligne 104 : | Ligne 105 : | ||
=== Ubuntu === | === Ubuntu === | ||
− | * [ | + | * [https://www.ubuntu.com/usn/usn-2362-1/ ubuntu.com] USN-2362-1: '''[[Bash]]''' vulnerability |
sudo apt-get update && sudo apt-get install --only-upgrade bash | sudo apt-get update && sudo apt-get install --only-upgrade bash | ||
Ligne 112 : | Ligne 113 : | ||
=== CloudLinux === | === CloudLinux === | ||
− | * [ | + | * [https://cloudlinux.com/blog/clnews/update-for-bash-remote-vulnerability-cve20146271.php cloudlinux.com] Update '''[[bash]]''' remote vulnerability '''CVE-2014-6271''' |
=== [[Plesk]] Panel === | === [[Plesk]] Panel === | ||
− | * [ | + | * [https://kb.sp.parallels.com/en/123006 parallels.com] '''[[Bash]]''' Code Injection Vulnerability via Variables |
− | === [[OS | + | === [[Mac OS]] === |
− | * [ | + | * [https://support.apple.com/kb/DL1769?viewlocale=fr_FR support.apple.com] OS X bash Update 1.0 – OS X Mavericks -> voir http://support.apple.com/kb/HT1222 |
− | * [ | + | * [https://support.apple.com/kb/DL1768?viewlocale=fr_FR support.apple.com] OS X bash Update 1.0 – OS X Mountain Lion -> voir http://support.apple.com/kb/HT1222 |
− | * [ | + | * [https://support.apple.com/kb/DL1767?viewlocale=fr_FR support.apple.com] OS X bash Update 1.0 - OS X Lion -> voir http://support.apple.com/kb/HT1222 |
− | * [ | + | * [https://apple.stackexchange.com/questions/146849/how-do-i-recompile-bash-to-avoid-shellshock-the-remote-exploit-cve-2014-6271-an apple.stackexchange.com] How do I recompile '''[[Bash]]''' to avoid '''Shellshock''' (the remote exploit '''CVE-2014-6271''' and '''CVE-2014-7169)'''? |
* [https://security.stackexchange.com/questions/68123/are-ordinary-os-x-desktops-at-risk-from-bash-shellshock-bug-cve-2014-6271 StackExchange] Are ordinary '''[[OS X]]''' desktops at risk from '''[[bash]]''' “shellshock” bug (CVE-2014-6271) | * [https://security.stackexchange.com/questions/68123/are-ordinary-os-x-desktops-at-risk-from-bash-shellshock-bug-cve-2014-6271 StackExchange] Are ordinary '''[[OS X]]''' desktops at risk from '''[[bash]]''' “shellshock” bug (CVE-2014-6271) | ||
=== [[iOS]] === | === [[iOS]] === | ||
− | * Pas concerné selon '''Apple'''. Mais une incertitude toutefois sur les '''[[iOS]] jailbreakés''' | + | * Pas concerné selon '''[[Apple]]'''. Mais une incertitude toutefois sur les '''[[iOS]] jailbreakés''' |
=== [[Android]] === | === [[Android]] === | ||
Ligne 147 : | Ligne 148 : | ||
=== QNAP === | === QNAP === | ||
QNAP suggère dans son communiqué de presse du 26/09/14 de désactiver le '''QTS web UI''' pour éviter tout risque : | QNAP suggère dans son communiqué de presse du 26/09/14 de désactiver le '''QTS web UI''' pour éviter tout risque : | ||
− | * [ | + | * [https://www.qnap.com/i/en/news/con_show.php?op=showone&cid=336 QNAP Systems] Communiqué du 26/09/14 |
* Se connecter au '''QTS''' et désactiver l'option '''Serveur Web''' dans les '''Applications''' du '''Panneau de configuration''' | * Se connecter au '''QTS''' et désactiver l'option '''Serveur Web''' dans les '''Applications''' du '''Panneau de configuration''' | ||
* Se connecter au '''QTS''' et désactiver la '''Connexion sécurisée SSL''' dans la '''Gestion du système''' | * Se connecter au '''QTS''' et désactiver la '''Connexion sécurisée SSL''' dans la '''Gestion du système''' | ||
* Désactiver '''Connectez-vous au [[NAS]] par un utilitaire [[SSH]] comme [[Putty]]''' | * Désactiver '''Connectez-vous au [[NAS]] par un utilitaire [[SSH]] comme [[Putty]]''' | ||
* Se connecter au '''Turbo [[NAS]]''' avec ses '''identifiants''' | * Se connecter au '''Turbo [[NAS]]''' avec ses '''identifiants''' | ||
− | * Saisir la commande : '''/etc/init.d/thttpd.sh stop''' | + | * Saisir la commande : '''/etc/init.d/thttpd.sh stop''' {{K|Entrée}} |
==== Articles externes ==== | ==== Articles externes ==== | ||
− | * [ | + | * [https://www.nextinpact.com/news/90195-qts-4-1-1-qnap-corrige-failles-ajoute-nouveautes-et-parle-chiffrement.htm NEXT INpact - 01/10/14] '''QTS 4.1.1''' : '''QNAP''' corrige des failles, ajoute des nouveautés et parle chiffrement |
− | + | ||
= Articles externes = | = Articles externes = | ||
− | * [ | + | * [https://www.infoworld.com/article/2689231/application-development/shellshock-kill-cgi-now.html InfoWorld - 02/10/14] '''Shellshock''' proves it: '''CGI''' must die |
+ | |||
+ | = Articles [[Vulgum Techus]] = | ||
+ | * [[Zero Day Vulnerability CVE-2016-0728]] | ||
+ | * [[Poodle]] | ||
= Références = | = Références = |
Version actuelle en date du 30 octobre 2018 à 21:17
Lien court vers cette page : https://vt.cx/Bbug QR code vers cette page : https://vt.cx/Bbug.qr
Sommaire
Présentation
Découverte par Stéphane Chazelas (https://stephane.chazelas.free.fr), la vulnérabilité du Bash (Bourne-Again Shell) affecte plusieurs millions de Linux et plus particulièrement ceux dont les bash des versions listées plus bas. Le présent article vise à regrouper toutes les informations relatives à la détection et l'éradication du Bash bug aussi désigné sous le terme de Shellshock. Selon Neowin des périphériques NAS des marques Synology et QNAP sont impactés[1]
GNU Bash concernés :
- cpe:/a:gnu:bash:1.14.0
- cpe:/a:gnu:bash:1.14.1
- cpe:/a:gnu:bash:1.14.2
- cpe:/a:gnu:bash:1.14.3
- cpe:/a:gnu:bash:1.14.4
- cpe:/a:gnu:bash:1.14.5
- cpe:/a:gnu:bash:1.14.6
- cpe:/a:gnu:bash:1.14.7
- cpe:/a:gnu:bash:2.0
- cpe:/a:gnu:bash:2.01
- cpe:/a:gnu:bash:2.01.1
- cpe:/a:gnu:bash:2.02
- cpe:/a:gnu:bash:2.02.1
- cpe:/a:gnu:bash:2.03
- cpe:/a:gnu:bash:2.04
- cpe:/a:gnu:bash:2.05
- cpe:/a:gnu:bash:2.05:a
- cpe:/a:gnu:bash:2.05:b
- cpe:/a:gnu:bash:3.0
- cpe:/a:gnu:bash:3.0.16
- cpe:/a:gnu:bash:3.1
- cpe:/a:gnu:bash:3.2
- cpe:/a:gnu:bash:3.2.48
- cpe:/a:gnu:bash:4.0
- cpe:/a:gnu:bash:4.0:rc1
- cpe:/a:gnu:bash:4.1
- cpe:/a:gnu:bash:4.2
- cpe:/a:gnu:bash:4.3
Commandes utiles
Test de la vulnérabilité
Méthode 1
Saisir ou coller la ligne suivante :
env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
En cas de vulnérabilité Linux affiche :
vulnerable this is a test
Sinon affichage de :
bash: warning: x: ignoring function definition attempt bash: error importing function definition for `x' this is a test
ou seulement :
this is a test
Méthode 2
Saisir ou coller la ligne suivante :
env X='() { (a)=>\' sh -c "echo date"; cat echo
Si le système renvoie la date et l'heure c'est que le bash est vulnérable Si le système renvoie le résultat suivant :
date cat: echo: Aucun fichier ou dossier de ce type
sans interpréter la commande alors c'est que le bash n'est pas vulnérable
Connaitre la version du Bash
3 possibilités :
bash --version echo $BASH_VERSION rpm -q bash (RedHat, Fedora, CentOS)
Liens utiles
Informations
- National Vulnerability Database CVE-2014-6271 Bash Bug
- The Hacker News Remotely Exploitable Bash Shell Vulnerability Affects Linux, Unix and Apple Mac OS X
- seclist.org CVE-2014-6271: remote code execution through bash
- securityblog.redhat.com Bash specially-crafted environment variables code injection attack
Correctifs
Github
Red Hat
- access.redhat.com Bash Code Injection Vulnerability via Specially Crafted Environment Variables (CVE-2014-6271, CVE-2014-7169)
- rhn.redhat.com Critical: bash security update
sudo yum update bash
CentOS
- lists.centos.org [CentOS] Critical update for bash released today
sudo yum update bash
Fedora
sudo yum update bash
Ubuntu
- ubuntu.com USN-2362-1: Bash vulnerability
sudo apt-get update && sudo apt-get install --only-upgrade bash
Debian
- lists.debian.org [SECURITY] [DSA 3032-1] bash security update
sudo apt-get update && sudo apt-get install --only-upgrade bash
CloudLinux
- cloudlinux.com Update bash remote vulnerability CVE-2014-6271
Plesk Panel
- parallels.com Bash Code Injection Vulnerability via Variables
Mac OS
- support.apple.com OS X bash Update 1.0 – OS X Mavericks -> voir http://support.apple.com/kb/HT1222
- support.apple.com OS X bash Update 1.0 – OS X Mountain Lion -> voir http://support.apple.com/kb/HT1222
- support.apple.com OS X bash Update 1.0 - OS X Lion -> voir http://support.apple.com/kb/HT1222
- apple.stackexchange.com How do I recompile Bash to avoid Shellshock (the remote exploit CVE-2014-6271 and CVE-2014-7169)?
- StackExchange Are ordinary OS X desktops at risk from bash “shellshock” bug (CVE-2014-6271)
iOS
Android
- Pas concerné selon Google
- Google Play Store Terminal IDE : Appli pour lancer le terminal et faire les vérifications de vulnérabilité
Windows
Peuvent être vulnérable les environnements Cygwin sous Windows
- unix.stackexchange.com How to apply the fix for CVE-2014-6271 bash vulnerability on cygwin?
Synology
Modèles affectés :
15-series: DS415+ 14-series: RS3614xs+, RS2414+, RS2414RP+, RS814+, RS814RP+, RS3614xs, RS3614RPxs 13-series: DS2413+, DS713+, RS10613xs+, RS3413xs+, DS1813+, DS1513+ 12-series: DS712+, DS1512+, DS1812+, DS3612xs, RS3412xs, RS3412RPxs, DS412+, RS812+, RS812RP+, RS2212+, RS2212RP+ 11-series: DS3611xs, RS3411xs, RS3411RPxs, DS2411+, RS2211+, RS2211RP+, DS1511+, DS411+II, DS411+ 10-series: DS1010+, RS810+, RS810RP+, DS710+
- Synology Communiqué du 26/09/14 qui recommande d'installer les dernières mises à jour pour les modèles affectés.
QNAP
QNAP suggère dans son communiqué de presse du 26/09/14 de désactiver le QTS web UI pour éviter tout risque :
- QNAP Systems Communiqué du 26/09/14
- Se connecter au QTS et désactiver l'option Serveur Web dans les Applications du Panneau de configuration
- Se connecter au QTS et désactiver la Connexion sécurisée SSL dans la Gestion du système
- Désactiver Connectez-vous au NAS par un utilitaire SSH comme Putty
- Se connecter au Turbo NAS avec ses identifiants
- Saisir la commande : /etc/init.d/thttpd.sh stop Entrée
Articles externes
- NEXT INpact - 01/10/14 QTS 4.1.1 : QNAP corrige des failles, ajoute des nouveautés et parle chiffrement
Articles externes
- InfoWorld - 02/10/14 Shellshock proves it: CGI must die
Articles Vulgum Techus
Références
- ↑ Neowin - 27/09/14 Shellshock bug impacts NAS devices like QNAP and Synology