ShellShock

Ritratto di duns
Forum: 

Qualcuno sa quacosa di questa nuova pericolosissima minaccia ai sistemi unix, e mac?
Io ho dicversi siti web e la cosa mi preoccupa, inoltre pare che anche i pc connessi alla rete siano vulnerabili.
Ho letto che si può fare questa prova:
"Per sapere se un dispositivo basato su Unix (quindi anche un computer Apple) è vulnerabile, provate a digitare in una finestra di terminale questo comando:

env x='() { :;}; echo vulnerabile' bash -c "echo prova"

Se vi compare un messaggio d'errore del tipo bash: warning: Secret ignoring function definition attempt
bash: error importing function definition for `x', siete a posto. Se invece compare la parola vulnerabile, siete appunto vulnerabili."

Ritratto di footstep11

La vulnerabilità è reale ma è gia stata risolta in pclos con l'ultimo aggiornamento di bash:

http://www.pclinuxos.com/forum/index.php/topic,128588.0.html

Se hai aggiornato puoi dormire sonni tranquilli... Wink

Ciao, Mauro

Ritratto di monsee

Confermo: alla vulnerabilità è stata messa una valida "pezza". Non che il problema sia ancora del tutto risolto, in verità: ma si sta lavorando a rirmi forzati per addivenire quanto prima alla completa soluzione. PCLinuxOS ha già messo a disposizione la versione più aggiornata (che risolve, come già detto, quasi tutti i problemi). Non appena sarà disponibile la soluzione completa, sicuramente ciò verrà applicato subito da PCLinuxOS.

Ritratto di francesco bat

Il test l'ho eseguito ieri ed era tutt'ok.
Invece da virtualizzazione con pclinuxos con il server lamp installato mi ha fatto Vulnerable.
La cosa bella che ieri come ho letto la notizia e ho verificato il problema, ho trovato subito l'aggiornamento di bash che ha riparato il problema Smile
Ora aspettiamo come dice Monsee che venga risolta del tutto.
L'importante che se ne sono accorti in tempo e lo staff di Red Hat e no quando sarebbe stato troppo tardi da qualche malintenzionato (sempre se non se ne saranno accorti prima e non lo hanno fatto sapere Sad ).
Comunque fortunatamente per me non è un problema perchè è solo una virtualizzazione che uso per dei test Smile
Ciao
Francesco bat

Ritratto di duns

Grazie. Non ho capito però cosa vuoi dire Francesco bat: anch'io uso lampp come server locale per testare i miei siti: come si fa a trovarci una vulnerabilità?
Grazie
Duns

Ritratto di francesco bat

duns wrote:
Grazie. Non ho capito però cosa vuoi dire Francesco bat: anch'io uso lampp come server locale per testare i miei siti: come si fa a trovarci una vulnerabilità?
Grazie
Duns

Stesso con il comando che hai descritto al primo post Smile
In pratica inserendolo da terminale viene riportato sia la stringa "prova" che "vulnerable".
Dopo l'aggiornamento il terminale risponderà soltanto "prova" Wink
Ciao
Francesco bat

Ritratto di zafran

Veramente, echo prova è il comando che viene raggiunto se il primo echo vulnerabile viene eseguito.
In effetti è ridondante: se viene vulnerabile viene anche prova.
Altrimenti dà subito errore e si sa di non essere vulnerabili.

Ritratto di 500paolo

Scusate, ma non ho capito bene, come fanno da remoto ad accedere al terminale sul tuo pc?

@Zafran: http://www.pclinuxos.it/node/2523

Ritratto di zafran

?

Ritratto di 500paolo

Ben fatto.

Ritratto di zafran

Sei più ermetico di me... non so se ci sia da vantarsene.
Potresti frequentare un po' monsee, magari trovi un compromesso...

Il link dà su una pagina mancante

Ritratto di 500paolo

Pensavo avessi cancellato tu il thread.
Il link portava a una discussione di un tizio che diceva che stampava documenti su richiesta (in pratica ti faceva documenti falsi a pagamento). Peccato non ho fatto uno screenshot.

Ritratto di zafran

Infatti l'ho cancellato io ma mica poyevo ricordarmi il node e non capivo cosa intebdessi.
Cm grazie lo stesso per l'intenzione.

Ritratto di francesco bat

zafran wrote:
Veramente, echo prova è il comando che viene raggiunto se il primo echo vulnerabile viene eseguito.
In effetti è ridondante: se viene vulnerabile viene anche prova.
Altrimenti dà subito errore e si sa di non essere vulnerabili.

Beh, questo è solo un dettaglio tecnico.
LOL Biggrin

Ritratto di monsee

Sembra proprio che l'ultimo (di due o tre giorni fa, ora non mi rammento esattamente) aggiornamento rilasciato dal Team di PCLinuxOS abbia completamente risolto il problema.