https://opennet.ru/openforum/vsluhforumID3/110387.html В командном интерпретаторе Bash выявлена уязвимость (http://openwall.com/lists/oss-security/2017/02/07/9) (CVE-2017-5932 (https://security-tracker.debian.org/tracker/CVE-2017-5932)), которая может быть использована (https://github.com/jheyens/bash_completion_vuln/blob/master/2017-01-17.bash_completion_report.pdf) для выполнения своего кода при выполнении операций автодополнения ввода клавишей табуляция. Проблема затрагивает ветку Bash 4.4. Исправление пока доступно только в виде патча (http://git.savannah.gnu.org/cgit/bash.git/commit/?id=4f747edc625815f449048579f6e65869914dd715).<br><br><br><br>Проблема вызвана ошибкой в коде экранирования спецсимволов и связана с неверной обработкой наличия разных типов кавычек. Для эксплуатации достаточно создать файл со специально оформленным именем. При попытке выполнения операции автодополнения для данного файла будут выполнены определённые злоумышленником инструкции командного интерпретаора. Например, для эксплуатации достаточно создать файл с именем: <br><br><br><br> длинная_строка " https://opennet.ru/openforum/vsluhforumID3/110387.html#54 Sat, 11 Feb 2017 13:41:03 GMT Почему никто уничижительно не вопит про "те, кто пишет #!/bin/bash, а не #!/usr/bin/env bash" ? Что случилось с opennet-ом?<br> https://opennet.ru/openforum/vsluhforumID3/110387.html#53 Fri, 10 Feb 2017 09:36:36 GMT &gt;&gt; У нас это собранный [B]по минимуму[/B] bash3 <br>&gt; ну и вот чего в нем хорошего?<br><br>Вот это.<br> https://opennet.ru/openforum/vsluhforumID3/110387.html#52 Fri, 10 Feb 2017 09:16:39 GMT &gt; У нас это собранный по минимуму bash3<br><br>ну и вот чего в нем хорошего? Дыр в нем - было, сколько неанонсированных или вообще незамеченных и просто выброшенных вместе с кусками кода, переделанного в 4 - неведомо.<br><br>Не-ет, вниз это не наш путь.<br><br> https://opennet.ru/openforum/vsluhforumID3/110387.html#51 Thu, 09 Feb 2017 21:47:16 GMT &gt; ты лучше скажи, на что менять /bin/sh ?<br><br>У нас это собранный по минимуму bash3 (по крайней мере доныне).<br> https://opennet.ru/openforum/vsluhforumID3/110387.html#50 Thu, 09 Feb 2017 21:18:50 GMT &gt; Кстати: "культура" коммитов удивительно уродская для такого проекта.<br><br>для проекта, начатого во времена sccs - неудивительно.<br> https://opennet.ru/openforum/vsluhforumID3/110387.html#49 Thu, 09 Feb 2017 21:17:21 GMT ты лучше скажи, на что менять /bin/sh ? Учитывая миллион кривых скриптов (да хоть в тех же rpm'ах) которые радостно развалятся если его заменить чем-то недостаточно похожим на bash.<br>Ну и отдельно - что делать со скриптами где явно #!/bin/bash - кроме как, конечно, найти и убить их авторов, но это задача не на одно столетие, они размножаются.<br><br>Перейти на one true 1.14.7? Так в нем наверняка тоже дыр полно.<br><br> https://opennet.ru/openforum/vsluhforumID3/110387.html#47 Thu, 09 Feb 2017 13:05:30 GMT &gt;&gt; А почему в ал те баш а не какой нибудь zsh <br>&gt; Ребят, вы смеётесь? Уж на что bash развесистый в плане фич,<br>&gt; так zsh его обходит. Так что менять bash на zsh глупо.<br>&gt; Уж скорее в сторону (PD)KSH надо смотреть...<br><br>Как многолетний пользователь zsh, майнтейнер пакета pdksh и ловец плюх в (d)ash никак не могу согласиться -- в качестве интерактивного шелла мне всё-таки оптимален именно zsh. :)<br> https://opennet.ru/openforum/vsluhforumID3/110387.html#46 Thu, 09 Feb 2017 10:55:06 GMT это вам не systemd, это хорошая, отлаженная система<br> https://opennet.ru/openforum/vsluhforumID3/110387.html#45 Thu, 09 Feb 2017 04:58:27 GMT &gt; А почему в ал те баш а не какой нибудь zsh <br><br>Ребят, вы смеётесь? Уж на что bash развесистый в плане фич, так zsh его обходит. Так что менять bash на zsh глупо. Уж скорее в сторону (PD)KSH надо смотреть...<br>