高危bash漏洞来袭，小心你的服务器！

背景：

    北京时间9月25日消息，Linux用户今天又得到了一个“惊喜”！Red Hat安全团队在 Linux 中广泛使用的Bash shell中发现了一个隐晦而危险的安全漏洞。该漏洞被称为“Bash Bug”或“Shellshock”。

    当用户正常访问，该漏洞允许***者的代码像在Shell中一样执行，这就为各种各样的***打开了方便之门。而且，更糟糕的是，该漏洞已经在Linux中存在很长时间了，所以修补某个Linux机器很容易，但是要全部修补，几乎不可能实现。

Red Hat和Fedora已经发布了针对该漏洞的修补程序。该漏洞也会影响OS X，不过苹果公司尚未发布正式的修补程序。

这个Bash漏洞可能比Heartbleed更危险。

— — Robert Graham （@ErrataRob） 2014 年 9 月 24 日

Red Hat的Robert David Graham比较了该漏洞和Heartbleed，发现前者分布更广泛，有可能对系统安全带来长期影响。Graham在一篇博客文章中写道：“有大量的软件以某种方式与Shell交互，我们没有办法列举出受该漏洞影响的所有软件。”据报道，Berkeley ICSI的研究员Nicholas Weaver也同意这个说法：“它很隐晦、很可怕，并且会伴随我们多年。”

网络安全公司Rapid7工程部经理Tod Beardsley警告称，Bash漏洞的严重级别为“10”，这意味着它对用户电脑的威胁最大。Bash漏洞的利用复杂度级别为“低”，意味着***可以相对轻松地利用它发动***。

另外，网络安全公司Trail of Bits的CEO Dan Guido表示，“Heartbleed”漏洞能够允许***监控用户电脑，但不会取得控制权。而利用Bash漏洞的方法也更简单——只需要剪切和粘贴一行代码即可。

据称，谷歌安全研究员Tavis Ormandy在Twitter上表示，Linux系统提供商推出的补丁似乎“并不完整”，这引发了几位安全专家的担忧。

升级办法：

针对RedHat、CentOS Liunx发行版本，请执行：

yum -y update bash

针对Debian Liunx发行版本，请执行：

sudo apt-get update && sudo apt-get install --only-upgrade bash