Linux GNU Bash 环境变量远程命令执行漏洞(CVE-2014-6271)预警通报

一、漏洞概述

GNU Bash 4.3及之前版本在处理某些构造的环境变量时存在安全漏洞，向环境变量值内的函数定义后添加多余的字符串会触发此漏洞，攻击者可利用此漏洞改变或绕过环境限制，以执行shell命令。某些服务和应用允许未经身份验证的远程攻击者提供环境变量以利用此漏洞。可能允许攻击者远程执行任意命令。

二、受影响的常见Linux系统

CentOS、Redhat、Ubuntu

三、本地验证bash是否受影响的方法

命令行输入以下命令：

$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

如果显示以下信息，则受影响。

vulnerable

this is a test

如果显示以下信息，则不受影响。

bash: warning: x: ignoring function definition attempt

bash: error importing function definition for `x'

四、建议解决措施

1、红帽用户可通过更新 bash 并重启系统来解决这个问题：

# yum update bash

或者：

# yum update bash-4.1.2-15.el6_5.1

此举只是更新了 bash 包，还需要重启系统才能生效。

2、Ubuntu 用户可以通过如下命令打补丁，无需重启：

apt-get update

apt-get install bash

3、目前厂商已经发布了升级补丁用以修复这个安全问题，请及时到相关网站按照所用系统版本进行升级：

Red Hat Enterprise Linux系统：

https://access.redhat.com/solutions/1207723

CentOS系统：

http://lists.centos.org/pipermail/centos/2014-September/146099.html

Ubuntu 系统：

http://www.ubuntu.com/usn/usn-2362-1/