web-dev-qa-db-ja.com

Yumは更新されたbashを報告しますが、バイナリはまだ古いバージョンを報告します

CVE-2014-6271 / RHSA-2014：1293-1 で説明されているbashの脆弱性にパッチを適用するために、CentOS 5システムを更新しようとしていますが、実行中です問題に。

yum update bashを介してbashを正常に更新し、サーバーを再起動した後、yum list bashはインストールされたバージョンをパッチ済み（3.2.33.e15.1）としてリストしますが、/bin/bash --versionは3.2.25（1 ）-リリース。

すべてのアカウントで（rpm -ql bash経由）、バイナリの場所は正しく、find / -name bashはその1つの場所のみを返します。

バージョンの不一致が発生している理由について何か考えはありますか？

centosbashcentos5exploit
3
Richard Szalay

バージョンの不一致にもかかわらず、更新は成功したことがわかります。サンプル入力の実行は、以前は成功しなかった場所で成功します。

user [~]# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test
3
Richard Szalay

Red Hatでは通常、システムを壊さないように、最新バージョンに直接更新するのではなく、古いバージョンにパッチを適用します。これは単なる脆弱性パッチであるため、バイナリとパッケージ全体の下位互換性が維持されます。

rpmを使用して、パッケージの変更ログを調べることができます。これにより、バックポートされた最新バージョンを使用しているかどうかを常に確認できます。

# rpm -q --changelog <the rpm package that just got installed>

3
Toshe