新的 bash 漏洞 (shellshock) 的严重性如何？

Question

我一直在阅读有关远程 bash 漏洞利用的信息，想知道它有多严重，我是否应该担心，尤其是在补丁发布后发现了一个新漏洞利用。

作为使用 Debian 作为主要桌面操作系统的人，这对我来说意味着什么？有什么我应该注意的吗？

Answer 1

TL;DR（又名执行摘要）

• 是的，你应该担心。
• 是的，这很严重（让完全陌生的人可能完全控制您的文件和资源）。

您绝对应该升级您的桌面以及任何服务器。

（https://security.stackexchange.com/questions/68156/is-connecting-to-an-open-wifi-router-with-dhcp-in-linux-susceptible-to-shellshoc）

您的 DHCP 客户端使用dhclient-script它使用从服务器传递的 shell 变量。如果存在流氓/受损路由器，它可能会通过domain-name漏洞利用传递修改后的变量。

学分：Stéphane Chazelas、Mark、Michal Zalewski

此外，许多桌面使用 OpenSSH，根据http://seclists.org/oss-sec/2014/q3/650（尽管对于登录用户 - 又名网络上的流氓内部人员），它绝对容易受到攻击。据该漏洞的原报告人Stéphane Chazelas 称，OpenSSH 漏洞是关于绕过 sshForcedCommand设置的。

但请注意，该问题的完整修复尚不可用（http://seclists.org/oss-sec/2014/q3/679）。

有关可能的解决方法，请参阅https://access.redhat.com/articles/1200223。Debian 还没有发布升级，我也没有时间在他们的网站上找到相关的讨论。

（注：二由一个建议terdon，那将是非常。好的，如果斯特凡Chazelas可以写上弹震规范Q＆A）