 Re: ★★★何でも質問・相談★★★ ( No.494 ) |
- 日時： 2014/09/27 13:12
- 名前： o6asan
- Bash の話が NHK BS のニュースで出てて，驚きました。いや，一般のニュースでこれだけ
素早いとは，という意味です。
あらかたパッチは出ているようですが，UNIX/ LINUX系のサーバのところの対応はどうでしょうか。
NHK では言ってませんでしたが，MacOS Xも関係あるんですね。知らなかった。
http://goo.gl/Wjan4G
なんだそうです。
|
| Re: ★★★何でも質問・相談★★★ ( No.495 ) |
- 日時： 2014/09/27 14:02
- 名前： くりくり
- こんにちは
centosですが、
すでに対応済みです。
https://www.superweibu.com/archives/5769.html
＞MacOS X
そういえばUNIXベースでUNIXに認定されてるからでしょう。
もっともシェルでbashを使ってなければいいだけですから。
[root@www ~]# cat /etc/shells
/bin/sh
/bin/bash
/sbin/nologin
/bin/tcsh
/bin/csh
[root@www ~]# cat /etc/passwd |grep redadmin
redadmin:x:500:500::/home/redadmin:/bin/bash
[root@www ~]# usermod -s /bin/tcsh redadmin
[root@www ~]# cat /etc/passwd |grep redadmin
redadmin:x:500:500::/home/redadmin:/bin/tcsh
という風に変更してもいいかも？
|
| Re: ★★★何でも質問・相談★★★ ( No.496 ) |
- 日時： 2014/09/27 17:05
- 名前： りり
- こちらには
http://itpro.nikkeibp.co.jp/atcl/news/14/092601079/
>米国立標準技術研究所（NIST）が出した脅威評価は10段階中「10」（最も重大）
>今春世間を騒がせたOpenSSLの脆弱性「Heartbleed（心臓出血）」（関連記事）より被害が拡大するとの見方もある。
>Heartbleedはサーバーのメモリーからデータを盗み出すことのみに使われたのに対し、Shellshockは攻撃者がシステムの制御を奪い、犯罪目的やサイバースパイなどに悪用することを可能にしてしまう。
とあります。どこかで、このような被害が実際に起こったのでしょうか？
|
| Re: ★★★何でも質問・相談★★★ ( No.497 ) |
- 日時： 2014/09/27 18:36
- 名前： くりくり
- 今晩は
情報が錯綜してますね。
bashのパッケージアップデータが2回ありました。
どうやら、最初はCVE-2014-6271対策のでしたが、
これでは不十分らしくCVE-2014-7169対応のバージョンも公開されたみたいです。
https://www.ipa.go.jp/security/ciadr/vul/20140926-bash.html
被害はまだでていないかわかりませんが、
すでに攻撃は警察が確認してるみたいですね。
http://www.npa.go.jp/cyberpolice/detect/pdf/20140925-2.pdf
|
| Re: ★★★何でも質問・相談★★★ ( No.498 ) |
- 日時： 2014/09/27 19:54
- 名前： o6asan
- こんばんは。
書き逃げ状態で他出し，帰ってきてから VMWare 上の CentOS 6.5 を調べたら，こんな状態でした。
$ env x='() { :;}; echo vulnerable' bash -c "echo ｔhis is a test"
vulnerable
ｔhis is a test
$ rpm -qa |grep bash
bash-4.1.2-15.el6_4.i686
# yum update bash
# rpm -qa |grep bash
bash-4.1.2-15.el6_5.2.i686
$ env x='() { :;}; echo vulnerable' bash -c "echo ｔhis is a test"
ｔhis is a test
なので，くりくりさんのおっしゃってるように CentOS では shellshock 関係で２度パッチが出たようです。
VMWare 上でも，そこからネットにアクセスすれば関係あるものですか？
ところで， NHK のニュースで報道があったことに驚いて書き込みしたのですが，
「インターネットのホームページを表示するサーバで広く利用されているプログラム」
とかいう表現をされていて，誤解生むなあと思いました。
もっとも，サーバの脆弱性が利用されてマルウェアが仕込まれれば，アクセスしたほうは Bash に縁がなくても
影響は受けるでしょうから，周知は大事でしょうが。わかりやすい表現というのはどうすればいいんでしょうかねぇ。
そういえば， Android も Linux ですよね。これには，影響ないんですか。
実際の被害の記事はまだ探し出せませんでしたが，関係するボットネットはもうできたみたいですね。
クワバラクワバラです。
|
| Re: ★★★何でも質問・相談★★★ ( No.499 ) |
- 日時： 2014/09/28 00:47
- 名前： あいり
- Linuxのこともプログラムのこともよくわからないんですが、
周りの反応を見てると、危ないのはWEBサーバでCGIを使ってる（掲示板とか）なの？と思います。
そもそもBashを使っているかはわかっても、プログラムがBashを介してるかとかちんぷんかんぷんなのです；；
|
| Re: ★★★何でも質問・相談★★★ ( No.500 ) |
- 日時： 2014/09/28 09:20
- 名前： りり
- こちらの方の解説が詳しそうですね。
http://blog.mona-digest.net/?p=2909
私もぷんかんぷんなのですが、この解説を読んでも何となくイメージできました。
>実行可能なコマンドであればなんでも入れ込むことが可能なため、情報の漏えいや破壊等といった直接的被害が出かねないという意味ではより深刻であるといえます。
>なによりもcgiをbash経由で実行する環境などがある場合は遠隔でコマンドを実行することが可能になるため、早急な対策が必要になります。
ということのようです。
この話題は、重大なので、あとで、スレッドを適当なカテゴリーで独立させたいと思います。
で、o6asanさんやくりくりくさんは、サーバ運用されていますから、サーバの設定として切迫されていると思いますが、レンタルサーバ利用側としては、そのサーバの仕様がどうなっているかに寄るかと思います。
使っているXserverでは、SSHでリモートコントロールできるようなんですが、これは、今回のBashとは、無関係ですかね？ssh経由bashコマンド実行というケースもあるみたいですが…
http://www.amamoba.com/wordpress/xserver-ssh.html
まあ、でもうちのスペースは、いずれにしろssh利用をonにしていないので、関係ないですよね？
|
| Re: ★★★何でも質問・相談★★★ ( No.501 ) |
- 日時： 2014/09/28 09:33
- 名前： りり
- ちょうど、５００投稿で、過去ログに入ってしまいました。基本的に過去ログに入ると見つけにくくなるので、その前にロックして、一覧に残るようにしていたのですが、うっかりしていました。
で、過去ログにも入っていますが、ちょっと手直しして原稿ログ一覧にも出るようにしました。ただし、ずっと長くなると管理者修正時に膨大な量になって大変ですので、のちほど、ロックし、★★★何でも質問・相談★★★２★を立てます。
またBash問題は、スレッドを独立させますので、そのあと、続きのお書き込みをお願いします。
|
| Re: ★★★何でも質問・相談★★★ ( No.502 ) |
- 日時： 2014/09/28 09:48
- 名前： りり
- Bash問題は、スレッドは、こちらに独立させました。よろしくお願いします。
http://todos.xsrv.jp/22patioweb/todos.cgi?no=58
|
| Re: ★★★何でも質問・相談★★★ ( No.503 ) |
- 日時： 2014/09/28 09:51
- 名前： りり
- 続きは、★★★何でも質問・相談★★★その２となります。
http://todos.xsrv.jp/1pations/todos.cgi?no=16
よろしくお願いします。
|
★★★何でも質問・相談★★★