bug di sicurezza su linux e mac

[leevancleef]

... forse e' un po' offtopic per il forum, ma credo che sia comunque utile: e' uscito un baco di sicurezza (con possibilita' di attacchi da remoto) sulla bash, che riguarda tutti i sistemi linux e mac:

qui trovate il thread su seclists.org:
http://seclists.org/oss-sec/2014/q3/649

qui la discussione su reddit:
http://www.reddit.com/r/Bitcoin/comments/2heu88/if_you_are_storing_bitcoins_on_a_linuxmac_system/

al momento in cui scrivo sono gia' presenti le patch di sicurezza nei relativi repository su queste distribuzioni: redhat, centos, debian, ubuntu, mint/ubuntu.
non ho idea di quale sia la situazione su mac e sulle distro minori.

ciao

[1715339828]

1715339828

[jack0m]

Non dovrebbero esserci rischi per un wallet installato su un PC, a meno che non si faccia girare qualche servizio esposto vulnerabile. Sembra invece che siano a rischio i router domestici, ma lì se non è il produttore a rilasciare un firmware patchato, la vedo piuttosto grigia...

[Sandro kensan]

al momento in cui scrivo sono gia' presenti le patch di sicurezza nei relativi repository su queste distribuzioni: redhat, centos, debian, ubuntu, mint/ubuntu.
non ho idea di quale sia la situazione su mac e sulle distro minori.

Ieri o l'altro ieri è arrivata la patch pure su mageia 4.

Mageia 4 patchata ieri, entrambi i test falliscono:

Code:

[sandro@localhost bin]$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test

[sandro@localhost bin]$ /bin/bash --version
GNU bash, version 4.2.48(2)-release (x86_64-mageia-linux-gnu)

[sandro@localhost bin]$ env X='() { (a)=>\' sh -c "echo date"; cat echo
sh: X: line 1: syntax error near unexpected token `='
sh: X: line 1: `'
sh: error importing function definition for `X'
Thu Sep 25 22:01:00 CEST 2014

Dovrò dare assolutamente qualche euro in bitcoin ai ragazzi di mageia:
mageia 1GYF2h69NrJ7Pp92bNPDEdLABbH1hR7rsA

[LastRoby]

Grazie per la segnalazione..