Sicherheitslücke in Bash

[Frogman]

Im Gegenteil, die Spitzbuben kenne ich auch eher unter dem Begriff "Cracker"..

Aber nicht alle, es gibt immer schwarze Schafe - hier bezeichnet sich jemand als "berühmtester Hacker der Welt" und erklärt seine Website jetzt als exklusive Handelsplattform von ZeroDay-Exploits... Mindestgebot 100.000$ ! Dreimal darf man raten, wer da Großkunde sein dürfte...

 

[dil88]

Klar, die üblichen Schreihälse, die es in jedem "Gewerbe" gibt.

 

[jahlives]

Debian und RedHat haben Patches für Bash, welche auch CVE-2014-7169 fixen, rausgebracht

 

[gizmo21]

die "großen" Synologys sind wohl betroffen, also doch nicht "Off-Topic"

https://www.synology.com/de-de/support/security/bash_shellshock

26.9.2014 Important Information about Bash Vulnerability "ShellShock" (CVE-2014-6271 and CVE-2014-7169)

Description

A vulnerability of a commonly used UNIX command shell, Bash, has been discovered allowing unauthorized users to remotely gain control of vulnerable UNIX-like systems. A thorough investigation by Synology shows the majority of Synology NAS servers are not concerned. The design of Synology NAS operating system, DiskStation Manager (DSM), is safe by default. The bash command shell built-in in DSM is reserved for system service use (HA Manager) only and not available to public users. For preventive purpose, Synology is working on the patches addressing this bash vulnerability and to provide them as soon as possible.
Affected Models

Synology will release the corresponding update to address this weakness for the following models. We have confirmed that models which are not in this list are not concerned by this bash vulnerability.

15-series: DS415+
14-series: RS3614xs+, RS2414+, RS2414RP+, RS814+, RS814RP+, RS3614xs, RS3614RPxs
13-series: DS2413+, DS713+, RS10613xs+, RS3413xs+, DS1813+, DS1513+
12-series: DS712+, DS1512+, DS1812+, DS3612xs, RS3412xs, RS3412RPxs, DS412+, RS812+, RS812RP+, RS2212+, RS2212RP+
11-series: DS3611xs, RS3411xs, RS3411RPxs, DS2411+, RS2211+, RS2211RP+, DS1511+, DS411+II, DS411+
10-series: DS1010+, RS810+, RS810RP+, DS710+

Resolution

The affected models vary on different versions of DSM due to differences in implementation. It is encouraged to update your Synology NAS server to the latest version.

If your Synology NAS server is one of the above models and an update is available, please go to DSM > Control Panel > Update & Restore> DSM Update and install the latest updates to protect your DiskStation from malicious attacks.

[Update]: engl. Thread dazu:

http://forum.synology.com/enu/viewtopic.php?f=4&t=90732&hilit=bash&start=15

 

[dil88]

Danke für den Hinweis!

 

[benoga]

ipkg bash wurde übrigens gepatcht.

(DS713+: http://ipkg.nslu2-linux.org/feeds/optware/syno-i686/cross/stable/)

mit ipkg update und ipkg upgrade aktualisieren

 

[jahlives]

ist damit auch CVE 7169 gepatchet? Kann jemand mit gepatchter bash auf der DS mal folgendes probieren?

env X='() { (a)=>\' sh -c "echo date"; cat echo

 

[goetz]

Hallo,
verwirrend

DS411plusII> ipkg list_installed
...
bash - 3.2.52-1 - A bourne style shell
...

DS411plusII> /opt/bin/bash --version
GNU bash, version 3.2.49(1)-release (i686-pc-linux-gnu)
Copyright (C) 2007 Free Software Foundation, Inc.

bash-3.2# env X='() { (a)=>\' sh -c "echo date"; cat echo
date
cat: echo: No such file or directory

Gruß Götz

 

[fpo4711]

Kann das nur bestätigen. Erzeugte auch bei mir etwas staunen. Extra nochmal de-/installiert. stable/unstable=identisch

[DS710-1] ~ > ipkg install bash
Installing bash (3.2.52-1) to root...
Downloading http://ipkg.nslu2-linux.org/feeds/optware/syno-i686/cross/unstable/bash_3.2.52-1_i686.ipk
Configuring bash
Successfully terminated.
[DS710-1] ~ > bash --version
GNU bash, version 3.2.49(1)-release (i686-pc-linux-gnu)
Copyright (C) 2007 Free Software Foundation, Inc.
[DS710-1] ~ > env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test
[DS710-1] ~ > which bash
/opt/bin/bash

Gruß Frank

 

[glimmling]

Ist bei meiner 211j auch so. Sieht so aus, als wäre noch die alte ungepatchte Version im Ipk-Paket drin. Ich habe mir nun die Bash 4.3.26 selbst kompiliert. Funktioniert. Beim Versuch, die Version 3.2.53 zu kompilieren, bekam ich einen Fehler mit Abbruch.

Gruß, Stefan.

 

[gizmo21]

Kann ein Admin den Thread mal aus off topic rausholen. Nicht dass ich wüßte wohin, aber so erscheint er nicht mal in der Übersicht.

 

[Matthieu]

die "großen" Synologys sind wohl betroffen, also doch nicht "Off-Topic"

"Betroffen" ist in meinen Augen das falsche Wort, denn obwohl die problematische Version eingesetzt wird, sagt die Meldung ja auch, dass kein Dienst nach außen damit agiert ("reserved for system service use"). IMHO besteht damit keine Gefahr. Das Patchen ist eine reine Vorsichtsmaßnahme.

MfG Matthieu

 

[Frogman]

Kann ein Admin den Thread mal aus off topic rausholen. Nicht dass ich wüßte wohin, aber so erscheint er nicht mal in der Übersicht.

Versteh ich nicht - es erscheint doch unter "neue Beiträge" bzw. "heutige Beiträge".

 

[gizmo21]

Versteh ich nicht - es erscheint doch unter "neue Beiträge" bzw. "heutige Beiträge".

Bei mir auf der "Startseite" nicht.

Ist mir aber auch egal, meine Syno ist nicht betroffen also ist's für mich Offtopic.
Dieses Security-Thema Synology betroffend ist ja auch wirklich extrem "offtopic", wie z.B. "Alternativer Nobelpreis für Snowden".
Frage mich warum ich überhaupt was poste, aber die Admins hier fragen sich das bestimmt auch.

 

[Frogman]

...Frage mich warum ich überhaupt was poste, aber die Admins hier fragen sich das bestimmt auch.

Hier im Board ist es nicht anders als in anderen Foren - der Threadersteller entscheidet zunächst, wo er einen Thread ansiedeln möchte (ob Dir das nun logisch erscheint oder nicht, steht da weniger im Vordergrund), ein Moderator kann dann im Bedarfsfall verschieben. In diesem Fall war der TE gar ein Moderator... - und könnte es denn selbst verschieben, wenn er es für angebracht hielte. Und dass das 'Offtopic' ein Sammelbecken ist, sollte Dir klar sein - da musst Du eben auch damit rechnen, Artikel zu finden, die für Dich weniger interessant sind, ob nun über Snowden oder die jährliche Strompreiserhöhung im Harz.

 

[gizmo21]

was Offtopic weiß ich weshalb die genannten Beispiele dort gut passen aber offensichtlich ist es dieser Thread ja nach meinem Posting zu Syno nicht, weshalb ich ihn dort nicht vermuten würde. Wird hier wohl anders gesehen, aber ist auch ok - will nicht diskutieren, das wäre wirklich offtopic

 

[fpo4711]

Hallo,

jedenfalls hat Synology seine Hausaufgaben gemacht. Mit dem Update 4.3.3827 Update 8 (gehe auch mal ungeprüft davon aus das auch im DSM5-Update vorhanden). Nicht auf allen Machinen ist die bash von Synology vorhanden. Siehe zuvor genannte Liste. Auf den aufgeführten kann man sich aber mit folgender Lösung helfen.

ipkg bash entfernen.

ipkg remove bash

Link auf Synology-Version erzeugen

ln -s /usr/syno/synoha/bin/bash /opt/bin/bash

Und hier dann die Ergebnisse also auch aftershock (CVE 7169) geschlossen.

[DS710-3] / > bash --version
GNU bash, version 4.2.50(1)-release (i686-pc-linux-gnu)
Copyright (C) 2011 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html>

This is free software; you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

[DS710-3] / > env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
this is a test

[DS710-3] / > env X='() { (a)=>\' bash -c "echo date"; cat echo
date
cat: echo: No such file or directory

Gruß Frank

 

[fpo4711]

Betrifft zwar nicht Synology, aber ich denke mal das passt hier ganz gut rein.

Auch Apple hat sich endlich bequemt ein Update zu liefern. Ist allerdings nicht über die Updatefunktion des AppStore verfügbar, sondern nur im direkten Download.

Hier der Artikel auf heise mit den entsprechenden Links.

Gruß Frank

 

[Benares]

Ich hab heute nochmal ipkg aktualisiert. Jetzt scheint bash die Version 3.2.54(1) und sicher zu sein.

root@DS212:~# bash --version
GNU bash, version 3.2.54(1)-release (arm-none-linux-gnueabi)
Copyright (C) 2007 Free Software Foundation, Inc.
root@DS212:~# env x='() { :;}; echo Verwundbar!' bash -c "echo Dies ist ein Test."
Dies ist ein Test.

 

[dil88]

Ich habe auch gerade per ipkg die bash auf 3.2.54(1) aktualisiert und bekomme damit die gleichen Ergebnisse wie fpo4711 in #37. Ich schreibe das nur, weil Benares den zweiten Test nicht gepostet hat.