Version actuelle en date du 30 octobre 2018 à 20:17

Lien court vers cette page : https://vt.cx/Bbug
QR code vers cette page : https://vt.cx/Bbug.qr

Présentation

Découverte par Stéphane Chazelas (https://stephane.chazelas.free.fr), la vulnérabilité du Bash (Bourne-Again Shell) affecte plusieurs millions de Linux et plus particulièrement ceux dont les bash des versions listées plus bas. Le présent article vise à regrouper toutes les informations relatives à la détection et l'éradication du Bash bug aussi désigné sous le terme de Shellshock. Selon Neowin des périphériques NAS des marques Synology et QNAP sont impactés^[1]

GNU Bash concernés :

cpe:/a:gnu:bash:1.14.0
cpe:/a:gnu:bash:1.14.1
cpe:/a:gnu:bash:1.14.2
cpe:/a:gnu:bash:1.14.3
cpe:/a:gnu:bash:1.14.4
cpe:/a:gnu:bash:1.14.5
cpe:/a:gnu:bash:1.14.6
cpe:/a:gnu:bash:1.14.7
cpe:/a:gnu:bash:2.0
cpe:/a:gnu:bash:2.01
cpe:/a:gnu:bash:2.01.1
cpe:/a:gnu:bash:2.02
cpe:/a:gnu:bash:2.02.1
cpe:/a:gnu:bash:2.03
cpe:/a:gnu:bash:2.04
cpe:/a:gnu:bash:2.05
cpe:/a:gnu:bash:2.05:a
cpe:/a:gnu:bash:2.05:b
cpe:/a:gnu:bash:3.0
cpe:/a:gnu:bash:3.0.16
cpe:/a:gnu:bash:3.1
cpe:/a:gnu:bash:3.2
cpe:/a:gnu:bash:3.2.48
cpe:/a:gnu:bash:4.0
cpe:/a:gnu:bash:4.0:rc1
cpe:/a:gnu:bash:4.1
cpe:/a:gnu:bash:4.2
cpe:/a:gnu:bash:4.3

Commandes utiles

Test de la vulnérabilité

Méthode 1

Saisir ou coller la ligne suivante :

env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

En cas de vulnérabilité Linux affiche :

vulnerable
this is a test

Sinon affichage de :

bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test

ou seulement :

this is a test

Méthode 2

Saisir ou coller la ligne suivante :

env X='() { (a)=>\' sh -c "echo date"; cat echo

Si le système renvoie la date et l'heure c'est que le bash est vulnérable Si le système renvoie le résultat suivant :

date
cat: echo: Aucun fichier ou dossier de ce type

sans interpréter la commande alors c'est que le bash n'est pas vulnérable

Connaitre la version du Bash

3 possibilités :

bash --version
echo $BASH_VERSION
rpm -q bash (RedHat, Fedora, CentOS)

Liens utiles

Informations

National Vulnerability Database CVE-2014-6271 Bash Bug
The Hacker News Remotely Exploitable Bash Shell Vulnerability Affects Linux, Unix and Apple Mac OS X
seclist.org CVE-2014-6271: remote code execution through bash
securityblog.redhat.com Bash specially-crafted environment variables code injection attack

Correctifs

Github

Github Security vulnerability in bash addressed

Red Hat

access.redhat.com Bash Code Injection Vulnerability via Specially Crafted Environment Variables (CVE-2014-6271, CVE-2014-7169)
rhn.redhat.com Critical: bash security update

sudo yum update bash

CentOS

lists.centos.org [CentOS] Critical update for bash released today

sudo yum update bash

Fedora

sudo yum update bash

Ubuntu

ubuntu.com USN-2362-1: Bash vulnerability

sudo apt-get update && sudo apt-get install --only-upgrade bash

Debian

lists.debian.org [SECURITY] [DSA 3032-1] bash security update

sudo apt-get update && sudo apt-get install --only-upgrade bash

CloudLinux

cloudlinux.com Update bash remote vulnerability CVE-2014-6271

Plesk Panel

parallels.com Bash Code Injection Vulnerability via Variables

Mac OS

support.apple.com OS X bash Update 1.0 – OS X Mavericks -> voir http://support.apple.com/kb/HT1222
support.apple.com OS X bash Update 1.0 – OS X Mountain Lion -> voir http://support.apple.com/kb/HT1222
support.apple.com OS X bash Update 1.0 - OS X Lion -> voir http://support.apple.com/kb/HT1222
apple.stackexchange.com How do I recompile Bash to avoid Shellshock (the remote exploit CVE-2014-6271 and CVE-2014-7169)?
StackExchange Are ordinary OS X desktops at risk from bash “shellshock” bug (CVE-2014-6271)

iOS

Pas concerné selon Apple. Mais une incertitude toutefois sur les iOS jailbreakés

Android

Pas concerné selon Google
Google Play Store Terminal IDE : Appli pour lancer le terminal et faire les vérifications de vulnérabilité

Windows

Peuvent être vulnérable les environnements Cygwin sous Windows

unix.stackexchange.com How to apply the fix for CVE-2014-6271 bash vulnerability on cygwin?

Synology

Modèles affectés :

15-series: DS415+
14-series: RS3614xs+, RS2414+, RS2414RP+, RS814+, RS814RP+, RS3614xs, RS3614RPxs
13-series: DS2413+, DS713+, RS10613xs+, RS3413xs+, DS1813+, DS1513+
12-series: DS712+, DS1512+, DS1812+, DS3612xs, RS3412xs, RS3412RPxs, DS412+, RS812+, RS812RP+, RS2212+, RS2212RP+
11-series: DS3611xs, RS3411xs, RS3411RPxs, DS2411+, RS2211+, RS2211RP+, DS1511+, DS411+II, DS411+
10-series: DS1010+, RS810+, RS810RP+, DS710+

Synology Communiqué du 26/09/14 qui recommande d'installer les dernières mises à jour pour les modèles affectés.

QNAP

QNAP suggère dans son communiqué de presse du 26/09/14 de désactiver le QTS web UI pour éviter tout risque :

QNAP Systems Communiqué du 26/09/14
Se connecter au QTS et désactiver l'option Serveur Web dans les Applications du Panneau de configuration
Se connecter au QTS et désactiver la Connexion sécurisée SSL dans la Gestion du système
Désactiver Connectez-vous au NAS par un utilitaire SSH comme Putty
Se connecter au Turbo NAS avec ses identifiants
Saisir la commande : /etc/init.d/thttpd.sh stop Entrée

Articles externes

NEXT INpact - 01/10/14 QTS 4.1.1 : QNAP corrige des failles, ajoute des nouveautés et parle chiffrement

Articles externes

InfoWorld - 02/10/14 Shellshock proves it: CGI must die

Articles Vulgum Techus

Références

↑ Neowin - 27/09/14 Shellshock bug impacts NAS devices like QNAP and Synology

Commentaires

blog comments powered by Disqus

[1] Neowin - 27/09/14 Shellshock bug impacts NAS devices like QNAP and Synology

[1]

@@ Ligne 1 : / Ligne 1 : @@
+<!-- Links checked 29/10/18 -->
 [[Catégorie:Linux]]
-'''[[Lien court]]''' vers cette page : http://vt.cx/Bbug<br/>
+[[Catégorie:Sécurité]]
-'''[[QR code]]''' vers cette page : http://vt.cx/Bbug.qr<br/>
+ '''[[Lien court]]''' vers cette page : https://vt.cx/Bbug
-<br/>
+ '''[[QR code]]''' vers cette page : https://vt.cx/Bbug.qr
 <html>
 <script type="text/javascript"><!--
@@ Ligne 13 : / Ligne 14 : @@
 </script>
 <script type="text/javascript"
-src="http://pagead2.googlesyndication.com/pagead/show_ads.js">
+src="//pagead2.googlesyndication.com/pagead/show_ads.js">
 </script>
 </html>
-<br/>
 = Présentation =
-Découverte par '''Stéphane Chazelas''' (http://stephane.chazelas.free.fr), la vulnérabilité du '''[[Bash]] ([[Bourne-Again Shell]])''' affecte plusieurs millions de '''[[Linux]]''' et plus particulièrement ceux dont les '''[[Bash]]''' des versions listées plus bas. Le présent article vise à regrouper toutes les informations relatives à la détection et l'éradication du '''[[Bash]] bug''' aussi désigné sous le terme de '''Shellshock'''. Selon '''Neowin''' des périphériques '''[[NAS]]''' des marques '''Synology''' et '''QNAP''' sont impactés<ref>[http://www.neowin.net/news/shellshock-bug-impacts-nas-devices-like-qnap-and-synology Neowin - 27/09/14] '''Shellshock''' bug impacts '''[[NAS]]''' devices like '''QNAP''' and '''Synology'''</ref><br/>
+Découverte par Stéphane Chazelas (https://stephane.chazelas.free.fr), la vulnérabilité du '''[[Bash]] ([[Bourne-Again Shell]])''' affecte plusieurs millions de '''[[Linux]]''' et plus particulièrement ceux dont les bash des '''[[versions]]''' listées plus bas. Le présent article vise à regrouper toutes les informations relatives à la détection et l'éradication du '''[[Bash]] bug''' aussi désigné sous le terme de Shellshock. Selon Neowin des périphériques '''[[NAS]]''' des marques Synology et QNAP sont impactés<ref>[http://www.neowin.net/news/shellshock-bug-impacts-nas-devices-like-qnap-and-synology Neowin - 27/09/14] Shellshock bug impacts '''[[NAS]]''' devices like QNAP and Synology</ref><br/>
 <br/>
 '''[[GNU Bash]] concernés''' :
@@ Ligne 80 : / Ligne 81 : @@
   rpm -q bash (RedHat, Fedora, CentOS)
-= Liens utiles =
+= [[Liens]] utiles =
 == Informations ==
 * [https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6271 National Vulnerability Database] '''CVE-2014-6271 [[Bash]]''' Bug
-* [http://thehackernews.com/2014/09/bash-shell-vulnerability-shellshock.html The Hacker News] Remotely Exploitable '''[[Bash Shell]]''' Vulnerability Affects '''[[Linux]], Unix''' and '''[[Apple Mac OS X]]'''
+* [https://thehackernews.com/2014/09/bash-shell-vulnerability-shellshock.html The Hacker News] Remotely Exploitable '''[[Bash Shell]]''' Vulnerability Affects '''[[Linux]], Unix''' and '''[[Apple Mac OS X]]'''
-* [http://seclists.org/oss-sec/2014/q3/679 seclist.org] '''CVE-2014-6271''': remote code execution through '''[[bash]]'''
+* [https://seclists.org/oss-sec/2014/q3/679 seclist.org] '''CVE-2014-6271''': remote code execution through '''[[bash]]'''
 * [https://securityblog.redhat.com/2014/09/24/bash-specially-crafted-environment-variables-code-injection-attack/ securityblog.redhat.com] '''[[Bash]]''' specially-crafted environment variables code injection attack
@@ Ligne 97 : / Ligne 98 : @@
 === CentOS ===
-* [http://lists.centos.org/pipermail/centos/2014-September/146099.html lists.centos.org] [CentOS] Critical update for '''[[bash]]''' released today
+* [https://lists.centos.org/pipermail/centos/2014-September/146099.html lists.centos.org] [CentOS] Critical update for '''[[bash]]''' released today
   sudo yum update bash
@@ Ligne 104 : / Ligne 105 : @@
 === Ubuntu ===
-* [http://www.ubuntu.com/usn/usn-2362-1/ ubuntu.com] USN-2362-1: '''[[Bash]]''' vulnerability
+* [https://www.ubuntu.com/usn/usn-2362-1/ ubuntu.com] USN-2362-1: '''[[Bash]]''' vulnerability
   sudo apt-get update && sudo apt-get install --only-upgrade bash
@@ Ligne 112 : / Ligne 113 : @@
 === CloudLinux ===
-* [http://cloudlinux.com/blog/clnews/update-for-bash-remote-vulnerability-cve20146271.php cloudlinux.com] Update '''[[bash]]''' remote vulnerability '''CVE-2014-6271'''
+* [https://cloudlinux.com/blog/clnews/update-for-bash-remote-vulnerability-cve20146271.php cloudlinux.com] Update '''[[bash]]''' remote vulnerability '''CVE-2014-6271'''
 === [[Plesk]] Panel ===
-* [http://kb.sp.parallels.com/en/123006 parallels.com] '''[[Bash]]''' Code Injection Vulnerability via Variables
+* [https://kb.sp.parallels.com/en/123006 parallels.com] '''[[Bash]]''' Code Injection Vulnerability via Variables
-=== [[OS X]] ===
+=== [[Mac OS]] ===
-* [http://support.apple.com/kb/DL1769?viewlocale=fr_FR support.apple.com] OS X bash Update 1.0 – OS X Mavericks -> voir http://support.apple.com/kb/HT1222
+* [https://support.apple.com/kb/DL1769?viewlocale=fr_FR support.apple.com] OS X bash Update 1.0 – OS X Mavericks -> voir http://support.apple.com/kb/HT1222
-* [http://support.apple.com/kb/DL1768?viewlocale=fr_FR support.apple.com] OS X bash Update 1.0 – OS X Mountain Lion -> voir http://support.apple.com/kb/HT1222
+* [https://support.apple.com/kb/DL1768?viewlocale=fr_FR support.apple.com] OS X bash Update 1.0 – OS X Mountain Lion -> voir http://support.apple.com/kb/HT1222
-* [http://support.apple.com/kb/DL1767?viewlocale=fr_FR support.apple.com] OS X bash Update 1.0 - OS X Lion -> voir http://support.apple.com/kb/HT1222
+* [https://support.apple.com/kb/DL1767?viewlocale=fr_FR support.apple.com] OS X bash Update 1.0 - OS X Lion -> voir http://support.apple.com/kb/HT1222
-* [http://apple.stackexchange.com/questions/146849/how-do-i-recompile-bash-to-avoid-shellshock-the-remote-exploit-cve-2014-6271-an apple.stackexchange.com] How do I recompile '''[[Bash]]''' to avoid '''Shellshock''' (the remote exploit '''CVE-2014-6271''' and '''CVE-2014-7169)'''?
+* [https://apple.stackexchange.com/questions/146849/how-do-i-recompile-bash-to-avoid-shellshock-the-remote-exploit-cve-2014-6271-an apple.stackexchange.com] How do I recompile '''[[Bash]]''' to avoid '''Shellshock''' (the remote exploit '''CVE-2014-6271''' and '''CVE-2014-7169)'''?
 * [https://security.stackexchange.com/questions/68123/are-ordinary-os-x-desktops-at-risk-from-bash-shellshock-bug-cve-2014-6271 StackExchange] Are ordinary '''[[OS X]]''' desktops at risk from '''[[bash]]''' “shellshock” bug (CVE-2014-6271)
 === [[iOS]] ===
-* Pas concerné selon '''Apple'''. Mais une incertitude toutefois sur les '''[[iOS]] jailbreakés'''
+* Pas concerné selon '''[[Apple]]'''. Mais une incertitude toutefois sur les '''[[iOS]] jailbreakés'''
 === [[Android]] ===
@@ Ligne 147 : / Ligne 148 : @@
 === QNAP ===
 QNAP suggère dans son communiqué de presse du 26/09/14 de désactiver le '''QTS web UI''' pour éviter tout risque :
-* [http://www.qnap.com/i/en/news/con_show.php?op=showone&cid=336 QNAP Systems] Communiqué du 26/09/14
+* [https://www.qnap.com/i/en/news/con_show.php?op=showone&cid=336 QNAP Systems] Communiqué du 26/09/14
 * Se connecter au '''QTS''' et désactiver l'option '''Serveur Web''' dans les '''Applications''' du '''Panneau de configuration'''
 * Se connecter au '''QTS''' et désactiver la '''Connexion sécurisée SSL''' dans la '''Gestion du système'''
 * Désactiver '''Connectez-vous au [[NAS]] par un utilitaire [[SSH]] comme [[Putty]]'''
 * Se connecter au '''Turbo [[NAS]]''' avec ses '''identifiants'''
-* Saisir la commande : '''/etc/init.d/thttpd.sh stop''' + {{K|Entrée}}
+* Saisir la commande : '''/etc/init.d/thttpd.sh stop''' {{K|Entrée}}
 ==== Articles externes ====
-* [http://www.nextinpact.com/news/90195-qts-4-1-1-qnap-corrige-failles-ajoute-nouveautes-et-parle-chiffrement.htm NEXT INpact - 01/10/14] '''QTS 4.1.1''' : '''QNAP''' corrige des failles, ajoute des nouveautés et parle chiffrement
+* [https://www.nextinpact.com/news/90195-qts-4-1-1-qnap-corrige-failles-ajoute-nouveautes-et-parle-chiffrement.htm NEXT INpact - 01/10/14] '''QTS 4.1.1''' : '''QNAP''' corrige des failles, ajoute des nouveautés et parle chiffrement
-<br/>
 = Articles externes =
-* [http://www.infoworld.com/article/2689231/application-development/shellshock-kill-cgi-now.html InfoWorld - 02/10/14] '''Shellshock''' proves it: '''CGI''' must die
+* [https://www.infoworld.com/article/2689231/application-development/shellshock-kill-cgi-now.html InfoWorld - 02/10/14] '''Shellshock''' proves it: '''CGI''' must die
+= Articles [[Vulgum Techus]] =
+* [[Zero Day Vulnerability CVE-2016-0728]]
+* [[Poodle]]
 = Références =

Bash bug : Différence entre versions

Version actuelle en date du 30 octobre 2018 à 20:17

Sommaire

Présentation

Commandes utiles

Test de la vulnérabilité

Méthode 1

Méthode 2

Connaitre la version du Bash

Liens utiles

Informations

Correctifs

Github

Red Hat

CentOS

Fedora

Ubuntu

Debian

CloudLinux

Plesk Panel

Mac OS

iOS

Android

Windows

Synology

QNAP

Articles externes

Articles externes

Articles Vulgum Techus

Références

Commentaires

Menu de navigation

Rechercher