Faille de sécurité dans bash (mis à jour 12/10/2014)

Kieran · Le 27/09/2014, à 12:25

La 3e ? mon gestionnaire ne s'est pas activé encore, je vais vérifier ça de suite .

Compte supprimé · Le 27/09/2014, à 12:26

Merci yann_001

Kieran · Le 27/09/2014, à 12:28

L_d_v_c@ a écrit :

Merci yann_001

+1

durard · Le 27/09/2014, à 12:36

Oui avec la mise a jour de aujourd'hui sur un de mes Ubuntu 14.04 j’avais hier
--------------------------
bash: avertissement : x: ignoring function definition attempt
bash: erreur lors de l'import de la définition de fonction pour « x »
this is a test
------------------------
et maintenant
-----------------------

-desktop:~$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
this is a test
-desktop:~$

j'avais posté la

http://forum.ubuntu-fr.org/viewtopic.ph … #p18133991

Kieran · Le 27/09/2014, à 12:43

J'ai fait la mise à jour et pareil que Durard, j'ai le même message :

yann@yann-desktop:~$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
this is a test
yann@yann-desktop:~$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

PPdM · Le 27/09/2014, à 12:47

quelle maj ?
tu peux donner la commande que tu as utilisé et son retour ?

durard · Le 27/09/2014, à 12:50

PPdM a écrit :

quelle maj ?
tu peux donner la commande que tu as utilisé et son retour ?

Fait avec le gestionnaire de mise a jour sur Xubuntu et Ubuntu 14.04

il y avait une mise a jour bash

Dernière modification par durard (Le 27/09/2014, à 12:54)

Kieran · Le 27/09/2014, à 12:51

PPdM a écrit :

quelle maj ?

j'ai lancé le gestionnaire de maj aujourd'hui et il y avait une maj du bourne shell, je n'ai pas regardé en détail le contenu.

tu peux donner la commande que tu as utilisé et son retour ?

C'est indiqué dans mon post ci-dessus :

yann@yann-desktop:~$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
this is a test
yann@yann-desktop:~$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

PPdM · Le 27/09/2014, à 12:54

Non, ça c'est le resultat du test.

sudo apt-get update && sudo apt-get upgrade bash

Dernière modification par PPdM (Le 27/09/2014, à 12:54)

Kieran · Le 27/09/2014, à 12:55

PPdM a écrit :

Non, ça c'est le resultat du test.
sudo apt-get update && sudo apt-get upgrade bash

donc la mise à jour par le GUI ne sert à rien ?

PPdM · Le 27/09/2014, à 12:57

je ne sais pas je ne m'en sert jamais.

Kieran · Le 27/09/2014, à 12:58

PPdM a écrit :

Non, ça c'est le resultat du test.
sudo apt-get update && sudo apt-get upgrade bash

Ok j'ai fair l'update et l'upgrade en ligne de commande et voici le résultat :

bash est déjà la plus récente version disponible.
0 mis à jour, 0 nouvellement installés, 0 à enlever et 0 non mis à jour.

Kieran · Le 27/09/2014, à 12:59

PPdM a écrit :

je ne sais pas je ne m'en sert jamais.

tu fais tout tes updates à la main ?

Compte supprimé · Le 27/09/2014, à 13:03

Hey, j'ai lu quelques articles sur ce bug, et j'ai vu dans celui de ZNet que cette faille était exploitable depuis 20 ans ? C'était vraiment si dur que ça à découvrir ou tout le monde s'en foutait ?

PPdM · Le 27/09/2014, à 13:03

ben oui c'est plus rapide !

sudo apt-get update && sudo apt-get dist-upgrade -y

Kieran · Le 27/09/2014, à 13:05

PPdM a écrit :

ben oui c'est plus rapide !
sudo apt-get update && sudo apt-get dist-upgrade -y

le -y c'est pour forcer la mise à jour sans confirmation c'est ça ?

Zakhar · Le 27/09/2014, à 13:05

$ dpkg-query -W bash
bash	4.3-7ubuntu1.4

Mise à jour d'aujourd'hui après mise à jour d'hier !..

Et voici l'historique (expurgé) sur ma 14.04 x64

Start-Date: 2014-09-24  23:02:27
Commandline: apt-get upgrade
Upgrade: (...) bash:amd64 (4.3-7ubuntu1, 4.3-7ubuntu1.1)


Start-Date: 2014-09-26  20:06:09
Commandline: apt-get upgrade
Upgrade: bash:amd64 (4.3-7ubuntu1.1, 4.3-7ubuntu1.3)


Start-Date: 2014-09-27  13:54:30
Commandline: apt-get upgrade
Upgrade: bash:amd64 (4.3-7ubuntu1.3, 4.3-7ubuntu1.4)

Le 24, mise à jour de bash 4.3-7 version 1, vers la 1.1
Le 26, mise à jour de bash 4.3-7 version 1.1, vers la 1.3
Le 27, mise à jour de bash 4.3-7 version 1.3, vers la 1.4

(Il y a peut-être eu une 1.2 au milieu... mais je n'ai pas fait de mise à jour le 25 )

Dernière modification par Zakhar (Le 27/09/2014, à 13:06)

Kieran · Le 27/09/2014, à 13:06

pareil que M. ci-dessus et j'ai toujours

yann@yann-desktop:~$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
this is a test
yann@yann-desktop:~$

PPdM · Le 27/09/2014, à 13:07

Ciryon a écrit :

PPdM a écrit :
ben oui c'est plus rapide !
sudo apt-get update && sudo apt-get dist-upgrade -y
le -y c'est pour forcer la mise à jour sans confirmation c'est ça ?

-y
enfin presque, forcer la maj c'est -f

Dernière modification par PPdM (Le 27/09/2014, à 13:07)

yann_001 · Le 27/09/2014, à 13:21

CasoarRotatif a écrit :

Hey, j'ai lu quelques articles sur ce bug, et j'ai vu dans celui de ZNet que cette faille était exploitable depuis 20 ans ? C'était vraiment si dur que ça à découvrir ou tout le monde s'en foutait ?

Dans un système d'exploitation il y a des millions de lignes de code et si tout le monde pense qu'un autre va lire le code, au final personne ne le fait. Pas facile de tout vérifier.
Il n'existe aucun système sans faille.

david96 · Le 27/09/2014, à 13:24

PPdM a écrit :

Ciryon a écrit :
PPdM a écrit :
ben oui c'est plus rapide !
sudo apt-get update && sudo apt-get dist-upgrade -y
le -y c'est pour forcer la mise à jour sans confirmation c'est ça ?
-y
enfin presque, forcer la maj c'est -f

man apt-get|egrep -A6 '\-y,'

 -y, --yes, --assume-yes
           Répondre automatiquement oui aux questions ; présume « oui » comme réponse à
           toutes les questions et s'exécute de manière non interactive. Dans le cas
           d'une situation indésirable, comme le changement d'un paquet gelé,
           l'installation d'un paquet non authentifié ou la suppression d'un paquet
           essentiel, apt-get s'interrompt. Élément de configuration :
           APT::Get::Assume-Yes.

Attention : Pour le forçage, vaut mieux éviter, ça peut casser le système !

man apt-get|egrep -A6 '\-force'

--force-yes
           Forcer l'acceptation ; cette option est dangereuse parce qu'elle laisse APT
           continuer sans poser de questions quand il réalise quelque chose de
           potentiellement dommageable. Cette option ne doit être utilisée que dans des
           circonstances très spéciales. Utiliser force-yes peut détruire le système...
           Élément de configuration : APT::Get::force-yes.

Dernière modification par david96 (Le 27/09/2014, à 13:26)

PPdM · Le 27/09/2014, à 13:31

D'accord avec toi
sinon il i a un souci avec

env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

la réponse n'est plus la même qu'hier

this is a test

au lieu de

bash: avertissement : x: ignoring function definition attempt
bash: erreur lors de l'import de la définition de fonction pour « x »
this is a test

que j'avais hier, qu'en penses-tu NesthiB ?

Dernière modification par PPdM (Le 27/09/2014, à 13:32)

Caribou22 · Le 27/09/2014, à 14:02

(je suis)

jackos · Le 27/09/2014, à 14:05

Bonjour,
On parle des risques au niveau serveur, mais que ce passe t'il pour les clients sous linux?, il y a aussi un risque?

san-claudio · Le 27/09/2014, à 14:09

@PPdM Tout à fait, il y a encore une maj du Bash en me loggant à l'instant sur Voyager.

san-claudio @ sanclaudio-Latitude-D420  ~
└─ $ ▶ apt-cache policy bash
bash:
  Installé : 4.3-7ubuntu1.4
  Candidat : 4.3-7ubuntu1.4
 Table de version :
 *** 4.3-7ubuntu1.4 0
        500 http://fr.archive.ubuntu.com/ubuntu/ trusty-updates/main i386 Packages
        500 http://security.ubuntu.com/ubuntu/ trusty-security/main i386 Packages
        100 /var/lib/dpkg/status
     4.3-6ubuntu1 0
        500 http://fr.archive.ubuntu.com/ubuntu/ trusty/main i386 Packages

hier c'était : '4.3-7ubuntu1.3'...

Ubuntu-fr

Navigation

Liens de recherche

Annonce

#126 Le 27/09/2014, à 12:25

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#127 Le 27/09/2014, à 12:26

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#128 Le 27/09/2014, à 12:28

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#129 Le 27/09/2014, à 12:36

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#130 Le 27/09/2014, à 12:43

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#131 Le 27/09/2014, à 12:47

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#132 Le 27/09/2014, à 12:50

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#133 Le 27/09/2014, à 12:51

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#134 Le 27/09/2014, à 12:54

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#135 Le 27/09/2014, à 12:55

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#136 Le 27/09/2014, à 12:57

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#137 Le 27/09/2014, à 12:58

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#138 Le 27/09/2014, à 12:59

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#139 Le 27/09/2014, à 13:03

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#140 Le 27/09/2014, à 13:03

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#141 Le 27/09/2014, à 13:05

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#142 Le 27/09/2014, à 13:05

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#143 Le 27/09/2014, à 13:06

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#144 Le 27/09/2014, à 13:07

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#145 Le 27/09/2014, à 13:21

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#146 Le 27/09/2014, à 13:24

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#147 Le 27/09/2014, à 13:31

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#148 Le 27/09/2014, à 14:02

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#149 Le 27/09/2014, à 14:05

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

#150 Le 27/09/2014, à 14:09

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

Pied de page des forums