CVE-2014-6271 और CVE-2014-7169 में बैश कमजोरियों के लिए मैं RHEL 4 को कैसे पैच करूं?


16

बैश के माध्यम से रिमोट कोड निष्पादन के लिए एक तंत्र को कल और आज (24 सितंबर, 2014 को) व्यापक रूप से सूचित किया गया है। http://seclists.org/oss-sec/2014/q3/650 CVE-2014-7169 या CVE-2014 के रूप में रिपोर्ट किया गया -6271

सार्वजनिक रूप से समझाने के लिए बहुत मूर्खतापूर्ण कारणों से, मैं आरएचईएल 4 चलाने वाले सर्वर के लिए जिम्मेदार हूं और कोई अपडेट सदस्यता नहीं है। मैं इसका परीक्षण करने के लिए एक क्लोन बना सकता था, लेकिन मुझे उम्मीद है कि किसी के पास इसका सीधा जवाब होगा।

  1. Centos 4 से / बिन / बैश पैच किया गया है, या यह होगा?
  2. क्या मैं अपने आरओईएल सिस्टम में सेंटोस 4 / बिन / बैश को एक वैकल्पिक हल के रूप में इस्तेमाल कर सकता हूं जो मुझे कई हफ्तों तक खरीदेगा? (मुझे 10 दिसंबर तक की आवश्यकता है)

जवाबों:


21

Oracle द्वारा el4 के लिए एक पैच प्रदान किया गया है:

https://oss.oracle.com/el4/SRPMS-updates/bash-3.0-27.0.1.el4.src.rpm

https://oss.oracle.com/el4/SRPMS-updates/bash-3.0-27.0.2.el4.src.rpm

https://oss.oracle.com/el4/SRPMS-updates/bash-3.0-27.0.3.el4.src.rpm

https://oss.oracle.com/el4/SRPMS-updates/bash-3.0-27.el4.src.rpm

जैसा कि यह एक src RPM है, आपको तब संकलन करने की आवश्यकता है rpmbuild

या बिल्ड से बचने के लिए इस लिंक का उपयोग करें

http://public-yum.oracle.com/repo/EnterpriseLinux/EL4/latest/i386/getPackage/bash-3.0-27.0.1.el4.i386.rpm

http://public-yum.oracle.com/repo/EnterpriseLinux/EL4/latest/i386/getPackage/bash-3.0-27.0.3.el4.i386.rpm

मैंने 4.9 i386 सिस्टम पर इसका परीक्षण किया, मेरे पास शोषण परीक्षण पास किया। (टेड)


1
नवीनतम संस्करण अब 3.0-27.0.2 है : oss.oracle.com/el4/SRPMS-updates/bash-3.0-27.0.2.el4.src.rpm (स्रोत) और public-yum.oracle.com/po/ EnterpriseLinux / EL4 / latest / i386 /… (i386) - यह CVE-2014-7169 मुद्दे को भी ठीक करने के लिए प्रतीत होता है ( Access.redhat.com/articles/1200223 से कोड के साथ परीक्षण किया गया )।
डेव जेम्स मिलर

ओरेकल सिर्फ मेरी किताब में एक पायदान ऊपर चला गया।
स्टीव केहलेट

हुह, oracle.com/us/support/library/… के अनुसार , Linux 4 केवल फरवरी 2013 तक समर्थित है। उन्होंने अपवाद बनाया होगा। बहुत ही शांत।
क्लेक

ये पैकेज फेडोरा कोर 3 और फेडोरा कोर 4 के लिए भी काम करते हैं
जीन

इसके अलावा, 64bit 3.0-27.0.3 public-yum.oracle.com/repo/EnterpriseLinux/EL4/latest/x86_64/…
Liam

20

मुझे एक पुराने CentOS 4.9 सर्वर को पैच करना था, इसलिए मैंने Red Hat FTP से नवीनतम स्रोत RPM निकाला और GNU FTP से अपस्ट्रीम पैच जोड़ा। कदम नीचे हैं:

सबसे पहले, http://bradthemad.org/tech/notes/patching_rpms.php से "सेटअप" प्रक्रिया का पालन करें :

echo "%_topdir    /home/$(whoami)/src/rpm" > ~/.rpmmacros
mkdir -p ~/src/rpm/{BUILD,RPMS,SOURCES,SPECS,SRPMS
mkdir -p ~/src/rpm/RPMS/{i386,i486,i586,i686,noarch,athlon}

फिर अपने% _topdir से निम्न आदेश चलाएँ:

cd ~/src/rpm
wget http://ftp.redhat.com/redhat/linux/updates/enterprise/4ES/en/os/SRPMS/bash-3.0-27.el4.src.rpm
rpm -ivh bash-3.0-27.el4.src.rpm
cd SOURCES
wget http://ftp.gnu.org/gnu/bash/bash-3.0-patches/bash30-017
cd ..

पैच स्पेस / bash.spec इस अंतर के साथ:

4c4
< Release: 27%{?dist}
---
> Release: 27.2%{?dist}
28a29
> Patch17: bash30-017
110c111,112
< #%patch16 -p0 -b .016
---
> %patch16 -p0 -b .016
> %patch17 -p0 -b .017

फिर इन आदेशों के साथ समाप्त करें:

rpmbuild -ba SPECS/bash.spec
sudo rpm -Uvh RPMS/i386/bash-3.0-27.2.i386.rpm

संपादित करें: Red Hat Bugzilla की नवीनतम टिप्पणियाँ कहती हैं कि पैच अधूरा है। नई आईडी CVE-2014-7169 है।

संपादित करें: gnu.org से दो अतिरिक्त पैच हैं, इसलिए उन्हें समान स्रोत निर्देशिका में भी डाउनलोड करें:

wget http://ftp.gnu.org/gnu/bash/bash-3.0-patches/bash30-018
wget http://ftp.gnu.org/gnu/bash/bash-3.0-patches/bash30-019

फिर विशेष रूप से संपादित करें / bash.spec इस प्रकार है ("रिलीज़" क्रमांकन वैकल्पिक):

4c4
< Release: 27%{?dist}
---
> Release: 27.2.019%{?dist}
28a29,31
> Patch17: bash30-017
> Patch18: bash30-018
> Patch19: bash30-019
110c113,116
< #%patch16 -p0 -b .016
---
> %patch16 -p0 -b .016
> %patch17 -p0 -b .017
> %patch18 -p0 -b .018
> %patch19 -p0 -b .019

1
कदम से कदम के लिए +1, ऐसा न हो कि हम इस सामान को कैसे भूल जाते हैं।
स्टीव केहलेट

14

आरएचईएल 4 इसमें है "विस्तारित जीवन" चरण और सुरक्षा अद्यतन केवल भुगतान करने वाले ग्राहकों के लिए उपलब्ध होंगे। CentOS 4 मार्च 2012 से समर्थन से बाहर है। इस समय से इसके लिए कोई और अपडेट उपलब्ध नहीं है।

आपके एकमात्र विकल्प हैं

  • RedHat के साथ एक समर्थन अनुबंध खरीदें
  • बैश के लिए अपना खुद का पैकेज बनाने की कोशिश करें।
  • या जीतने का विकल्प: इस मशीन को रिटायर करें और ऐसा करने के लिए प्रोत्साहन के रूप में इस सुरक्षा मुद्दे का उपयोग करें।

4
धन्यवाद। क्योंकि मैंने यहां अपना असली नाम इस्तेमाल किया है, इसलिए मैं सार्वजनिक रूप से यह नहीं समझा सकता कि मैं 10 दिसंबर से पहले मशीन को रिटायर क्यों नहीं कर सकता। डिट्टो के साथ यह तीन संस्करण है, जिसमें कोई अनुबंध नहीं है। मैंने आपके उत्तर की सराहना की है, और धन्यवाद। अगर कोई जल्द ही बचाव के साथ नहीं आता है तो मैं इसे स्वीकार कर लूंगा।
बॉब ब्राउन

2
@ याकूब क्या? आपने वास्तव में मेरे प्रशासनिक खातों के लिए उपयोग किए जाने वाले काल्पनिक नाम का उपयोग किया है। अजीब।
होपलेस

6
मैं अपने माता-पिता को दोष देता हूं।
बॉब ब्राउन ने

2

लुईस रोसेन्थल नामक एक प्रकार की आत्मा ने अपने एफ़टीपी सर्वर पर अपडेटेड बैश RPMS को CentOS 4 के लिए रखा है । माना जाता है कि bash-3.0-27.3 RPM CVE-2014-6271, CVE-2014-7169, CVE-2014-7186, और CVE-2014-7187 को संबोधित करने के लिए माना जाता है। उनके पास अधिक जानकारी के साथ एक README है , और CentOS मंचों पर कुछ चर्चा हुईइस सहायक ऑल-इन-वन चेक स्क्रिप्ट को मत भूलना - CVE-2014-7186 चेक एक सेगमेंटेशन फेल के साथ फेल हो जाएगा, लेकिन यह अभी भी ठीक माना जा रहा है, क्योंकि उस भेद्यता के लिए कुछ अन्य परीक्षण ठीक हो जाते हैं।

मैं कहूंगा, या तो @ tstaylor7 के निर्देशों का पालन करें अपने स्वयं के पैचित RPM को स्रोत से बनाएं या उपरोक्त स्थापित करें। जब मैंने कोशिश की, तो उन दोनों के पास उस चेक स्क्रिप्ट में समान परिणाम थे।

हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.