Re: [shell-script] Re: Falha no Bash, "pior que o heartbleed"

[Alfredo Casanova]

$ env x='() { :;}; echo vulnerable' bash -c 'echo hello'

bash: warning: x: ignoring function definition attempt

bash: error importing function definition for `x'

hello

$ cat /etc/issue

Debian GNU/Linux 7 \n \l

2014-09-25 11:33 GMT-03:00 Alexandre Mulatinho address@hidden [shell-script] <address@hidden>:

 

Pelo que li a atualização que a redhat forneceu (apesar de já estar instalada aqui) ainda não resolve o problema. Fiquem de olho. Concordo com o Tiago, existem várias por aí dando sopa e eu não estou aqui para criticar o amado Bash, devo muito a ele, o problema é que todos nós já sabemos que este problema vem dos primórdios, ou seja, quantas máquinas serão afetadas? quantos usuários? para quem entende um pouquinho mais é fácil corrigir , mas muitas máquinas por aí serão afetadas.

Em 25 de setembro de 2014 11:21, Tiago Peczenyj address@hidden [shell-script] <address@hidden> escreveu:

 

Na verdade, esse tipo de vulnerabilidade não costuma ser divulgada caso não exista algum tipo de solução ( como upgrade ou downgrade de versão de algum pacote ), caso contrario todos os hackers e script-kids vão tocar o terror no mundo. É uma forma de ética.

Tanto que existe um mercado negro de vulnerabilidades de todos os tipos e sistemas operacionais, coisas que ninguem sabe ou ainda não há correção.

Por exemplo, quando surge a noticia "iPhone é hackeado em x minutos" ( onde iPhone pode ser o Apache, NetBSD, algum reator nuclear, etc ), não é um cara que pegou pela primeira vez um iPhone e adivinhou como hackear o mesmo em instantes, e sim o cara demonstrou como uma vulnerabilidade que ele descobriu antes (e treinou um bom tempo) pode ser usada.

Eu tomei um susto mas atualizei o bash do ubuntu e estou feliz agora.

2014-09-25 9:28 GMT-03:00 address@hidden [shell-script] <address@hidden>:

 

Mais interessante que o "bug" em si, foi o tempo de resposta.

Já há correções no Debian, Slackware, Gentoo, Mandriva, Ubuntu , Fedora e CentOS (logicamente!).

Problemas existem, mas a disposição em resolve-los é significativa mais em SO.

[]'s

Itamar

--
Tiago B. Peczenyj
Linux User #405772

http://about.me/peczenyj

--
Alexandre Mulatinho
Weblog: http://alex.mulatinho.net
LinkedIn: http://br.linkedin.com/in/mulatinho

--
[]'s
Alfredo Casanova
Linux User #228230
msn: address@hidden
tel: +55 61 9655 9619