Comment puis-je corriger la vulnérabilité shellshock sur un système Ubuntu obsolète que je ne peux pas mettre à niveau?

J'ai un système que j'administre à distance (à deux fuseaux horaires) qui exécute Ubuntu 9.04, Jaunty. Pour diverses raisons, principalement parce que je suis vraiment réticent à vouloir effectuer une mise à niveau de distribution de si loin, je ne peux pas la mettre à niveau vers une version plus récente. De toute évidence, il n'est plus pris en charge et il n'y a pas de correctif officiel. Existe-t-il des instructions sur la manière de corriger le code et de recompiler moi-même afin de supprimer les vulnérabilités de shellshock?

J'ai volé ça à AskUbuntu , à quelqu'un qui l'a volé à Hacker News. Travaillé sur deux vieux serveurs pour moi

mkdir src
cd src
wget http://ftp.gnu.org/gnu/bash/bash-4.3.tar.gz
#download all patches
for i in $(seq -f "%03g" 1 28); do wget http://ftp.gnu.org/gnu/bash/bash-4.3-patches/bash43-$i; done
tar zxvf bash-4.3.tar.gz 
cd bash-4.3
#apply all patches
for i in $(seq -f "%03g" 1 28);do patch -p0 < ../bash43-$i; done
#build and install
./configure --prefix=/ && make && make install
cd .. 
cd ..
rm -r src

Mise à jour: Je viens de remarquer que si vous n’ajoutez pas --prefix=/à la commande de configuration, vous obtiendrez une /usr/local/bin/bashmise à jour qui /bin/bashrestera vulnérable.

Il existe également une solution consistant à mettre à jour votre fichier sources.list vers le plus récent, puis à utiliser apt-get pour mettre à jour uniquement bash. C'est très rapide et j'ai écrit un article à ce sujet. Voici ce que vous faites essentiellement:

Effectuez une mise à niveau vers les derniers référentiels apt-get Ubuntu '' fiables '' (vous devrez peut-être également changer les anciennes URL de repères.ubuntu.com si vous les utilisez, vérifiez l'article lié):

sudo sed -i 's/YOUR_OS_CODENAME/trusty/g' /etc/apt/sources.list

Mettre à jour le correctif bash / apply:

sudo apt-get update
sudo apt-get install --only-upgrade bash

Et peut-être changer en arrière les dépôts apt-get.

La commande devrait être

sudo apt-get update && sudo apt-get install --only-upgrade bash

Une option simple consiste simplement à ne pas utiliser bash. Assurez - vous dashest installé et /bin/shest un lien symbolique dash, non bash. (Ceci est la valeur par défaut sur certaines versions de Debian, mais je ne suis pas sûr à propos de Ubuntu.) Si vous disposez de comptes utilisateurs pour l'accès ssh avec des commandes forcées, vous devez également modifier leurs shells de connexion. Vous devrez peut-être également vérifier si des scripts utilisent explicitement bash; grepping #!/bin/bashdevrait les trouver.