Linux现Bash漏洞 比“心脏出血”更危险

http://www.antiy.com/press/20140925.html

   网络安全专家周三警告称，开源软件 Linux 中一个频繁使用的片段“Bash”，最近发现存在安全漏洞，其对计算机用户造成的威胁可能要超过今年 4 月爆出的“心脏出血”(Heartbleed)漏洞。“Heartbleed”是开源加密软件 OpenSSL 中的一个安全漏洞，于今年 4 月被发现。由于全球三分之二的网站使用了 OpenSSL，“Heartbleed”漏洞让数千万人的数据处于危险状态。这也迫使数十家科技公司发布安全补丁，以堵塞数百种使用了 OpenSSL 的产品中存在的安全漏洞。        Bash 是用于控制 Linux 计算机命令提示符的软件。网络安全专家表示，黑客可以利用 Bash 中的一个安全漏洞，对目标计算机系统进行完全控制。        网络安全公司 Trail of Bits 的首席执行官丹・吉多(Dan Guido)指出：“与 Heartbleed”相比，后者只允许黑客窥探计算机，但不会让黑客获得计算机的控制权。”        他说：“利用 Bash 漏洞的方法也简单得多，你可以直接剪切和粘贴一行软件代码，就能取得很好的效果。”        吉多还表示，他正考虑将自己公司非必要的服务器断网，以保护他们不会受到 Bash 漏洞的攻击，直到他能够修补这一漏洞为止。        网络安全公司 Rapid7 的工程经理托德・比尔兹利（Tod Beardsley）则警告称，Bash 漏洞的严重程度被评为 10 级，意味着它具有最大的影响力，而其利用的难度被评为“低”级，意味着黑客比较容易地利用其发动网络攻击。        比尔兹利称：“利用这个漏洞，攻击者可能会接管计算机的整个操作系统，得以访问机密信息，并对系统进行更改等等。任何人的计算机系统，如果使用了 Bash 软件，都需要立即打上补丁。”Linux现Bash漏洞 比“心脏出血”更危险        US-CERT 建议用户和管理员重新检查这篇红帽的安全博客。更多的详情只能参考相应 Linux 发行商以获取相应补丁。        你可以使用如下命令来检查系统存在此漏洞：env x='() { :;}; echo vulnerable' bash -c "echo this is a test"        受影响的系统包括：CentOSDebianRedhatUbuntu        红帽系可通过更新 bash 并重启系统来解决这个问题：# yum update bash        或者：# yum update bash-4.1.2-15.el6_5.1        此举只是更新了 bash 包，还需要重启系统才能生效。        Ubuntu 用户可以通过如下命令打补丁，无需重启：apt-get updateapt-get install bash        运行以后再运行上边的代码会提示：bash: warning: x: ignoring function definition attemptbash: error importing function definition for `x'hello        这个时候漏洞就修复好啦

 

 

 

http://www.antiy.com/response/bash.html