ShellShock fix on Debian 6
Con la nueva vulnerabilidad de BASH apodada Shellshock actualizé mi sistema para parcharla de la siguiente manera.
Agregué un repositorio mas a sources.list y quedó así:
deb http://security.debian.org/ squeeze/updates main contrib deb-src http://security.debian.org/ squeeze/updates main contrib
deb http://ftp.us.debian.org/debian/ squeeze-updates main deb http://ftp.us.debian.org/debian/ squeeze main
#DotDeb Para php5.4.3> deb http://packages.dotdeb.org squeeze-php54 all deb-src http://packages.dotdeb.org squeeze-php54 all
#To fix ShellShock deb http://http.debian.net/debian/ squeeze-lts main contrib non-free deb-src http://http.debian.net/debian/ squeeze-lts main contrib non-free
Luego solo era cuestion de un apt-get update y luego un apt-get install bash
Para comprobar que la vulnerabilidad ha sido parchada:
Para la vulnerabilidad CVE-2014-6271 env x='() { :;}; echo vulnerable' bash -c "echo this is a test" No debe devolver la palabra vulnerable, si lo hace, si lo es.
Para la vulnerabilidad CVE-2014-7169 cd /tmp; env X='() { (a)=>\' bash -c "echo date"; cat echo No debe devolver la fecha del sistema, si lo hace, es vulnerable.
Otra forma de verificar la vulnerabilidad es en IECRA
Fuentes:
http://shellshock.iecra.org/
http://serverfault.com/questions/631257/how-to-test-if-my-server-is-vulnerable-to-the-shellshock-bug
http://serverfault.com/questions/631381/can-not-update-bash-on-debian-squeeze
