smarthome.pi - ShellShock

[DiMa]

Hintergrund: ShellShock

Hier im Forum: Infos im Wiregate-thread

Bin ich mit einer aktuellen smarthome.pi-Installation (Update heute gemacht, Revision 560) betroffen? Ja.

Prüfen:

env X="() { :;} ; echo busted" `which bash` -c "echo completed"

Ausgabe 'busted' zeigt, dass die Lücke besteht.

Beheben:

sudo apt-get update
sudo apt-get install bash

Prüfen:

env X="() { :;} ; echo busted" `which bash` -c "echo completed"
env X="() { :;} ; echo busted" /bin/sh -c "echo completed"

Fehlende Ausgabe 'busted' zeigt, dass die Lücke nicht mehr besteht.

Alle Angaben ohne Gewähr (Quelle). Bei mir sind bisher keine Nebeneffekte aufgetreten, auch nicht mit den Update-Skripten von smarthome.pi - sind auch eigentlich nicht zu erwarten.

[callidomus]

Hallo,

Bin ich mit einer aktuellen smarthome.pi-Installation (Update heute gemacht, Revision 560) betroffen? Ja.

wie kommst Du zu dieser Aussage?
Mir ist kein cgi-bekannt das die Bash direkt aufruft. Daher sollte man die Lücke auch nicht ausnützen können.

Davon abgesehen schadet ein Update im Normalfall auch nicht.

Bis bald

Marcus

[makki]

Es muss kein CGI geben, wenn die Bash als System-Shell eingetragen ist; falls

ls -lA /bin/sh
/bin/sh -> [B]bash[/B]

ist man dabei..

Makki

[callidomus]

Hallo,

ja, ist aber auch nicht.

Bis bald

Marcus

[makki]

Ah ja?
Das kommt jedoch auf die individuelle Antwort bei einer Frage während der Installation an (dash oder bash..)

Nachdem (hier) ein Update ja längst verfügbar ist, verstehe ich ehrlichgesagt nicht, warum man dagegen anredet oder versucht es runterzuspielen, statt dieses Update einfach zu empfehlen, so wie es der TE getan hat;
Muss wirklich erst ein Wurm durch ne Million Hosts laufen, bis man dieses IMHO erhebliche Problem auch Ernst nimmt?
Es dünkt mich, das das ziemlich grob unterschätzt wird..
Edit: Und ob andere Shells auch betroffen sind, wissen wir alle noch nicht wirklich..

Makki

[callidomus]

Wir werden alle sterben!!!

Hallo Makki,

im (professionellen) Umfeld betreibt man etwas das heist Risikomanagement.
Bei dem Risikomanagement beurteilt man welches Risiko aus einer Schwachstelle entsteht (Risikoeinschätzung). Dabei wird die Eintrittswahrscheinlichkeit mit dem pot. Schaden verbunden.

Die Schwachstelle ist die hier die Schwachstelle der Bash. Die Eintrittswahrscheinlichkeit ist hier 0 (Null), da kein Shell-CGI aufgerufen wird.
Egal welcher Schaden entstehen könnte, das Risiko bleibt 0 (Null).

@DiMa: Leider habe ich es versäumt Danke zu sagen. Danke für die Information/Thread. Ich teile nur die Aussage nicht ob man betroffen ist.

Nachdem (hier) ein Update ja längst verfügbar ist, verstehe ich ehrlichgesagt nicht, warum man dagegen anredet oder versucht es runterzuspielen, statt dieses Update einfach zu empfehlen, so wie es der TE getan hat;

Ich sage ja nur, das die normalen User des Images nicht betroffen sind und das man ein Update einspielen kann.

Davon abgesehen schadet ein Update im Normalfall auch nicht.

Es dünkt mich, das das ziemlich grob unterschätzt wird..

Und mir dünkt es, Ihr macht daraus nur eine aufgeblähte Marketingaktion.

Aber damit die Welt ein besserer Ort wird und ich den Thread zumachen kann: Bitte liebe Benutzer des Images, spielt das Update ASAP ein!

Ihr braucht Euch hier nicht zu melden, wenn das Update geklappt hat. Die Bash spielt bei dem Image keine tragende Rolle.
Wenn es wieder erwarten doch Probleme geben sollte, so könnt Ihr gerne einen neuen Thread aufmachen.

Bis bald

Marcus