linux系統bash漏洞，甚過心臟出血

很多人或許對上半年發生的安全問題“心臟流血”（Heartbleed Bug）事件記憶頗深，然而僅時隔幾個月，又出現了另外一個“毀滅級”的漏洞——Bash軟體安全漏洞。

誰是Bash漏洞的發現者？

據 iThome網站報導，Bash漏洞是由法國GNU/Linux愛好者Stéphane Chazelas所發現。

隨後，美國電腦緊急應變中心（US-CERT）、紅帽以及多家從事安全的公司於週三（北京時間9月24日）發出警告。 

為什麼說Bash安全漏洞是毀滅級的？

業內人士都知道，Bash是Unix Shell的一種。雖然當初的Bash編寫是為了GNU計劃而編寫，打算用在GNU作業系統上，但它能執行於大多數類Unix作業系統上，這包括Linux與Mac OS系統。

百度百科的介紹顯示，Bash（GNU Bourne-Again Shell）是大多數Linux系統以及Mac OS X v10.4預設的shell，它能執行於大多數Unix風格的作業系統之上，甚至被移植到了Microsoft Windows上的Cygwin系統中，以實現Windows的POSIX虛擬介面。此外，它也被DJGPP專案移植到了MS-DOS上。

而Bash的命令語法是Bourne shell命令語法的超集。數量龐大的Bourne shell指令碼大多不經修改即可以在Bash中執行，只有那些引用了Bourne特殊變數或使用了Bourne的內建命令的指令碼才需要修改。可以說，Bash是類Unix系統的核心，如果Bash出現了漏洞，則說明攻擊者可以控制機器一切。

Bash漏洞現在帶來的影響？

據悉，這個Bash漏洞為遠端解析命令執行漏洞（CVE-2014-6271），可以直接在Bash支援的Web CGI環境下遠端執行任何命令。這也就使得一些路由器、堡壘機、VPN等網路裝置將會成為重災區，另外各大Linux發行版和Mac OS X系統都受影響，甚至Android也會受到影響。 

據烏雲漏洞報告平臺稱，這個漏洞對一般的網站影響並不大，但對那些受到影響的網站卻是很“兇殘”，因為之前聲稱所能使用的補丁，駭客可以輕鬆繞過。 

烏雲知識庫稱，目前Shellshock蠕蟲已經開始傳播。從漏洞披露到蠕蟲病毒出現，也就一天時間，時間間隔非常短，說明這或許真的是一場網際網路安全領域的“災難”。

值得一提的是，目前負責維護Bash Shell的Chet Ramey已經修補該漏洞，更新Bash 3.0至Bash 4.3的版本，可以執行：yum update -y bash進行升級處理。不過新版本Bash是否完全解決了安全問題，目前仍不得而知。

也可以直接使用rpm升級

rpm -ivh --conflicts --force bash-4.1.2-15.el6_5.1.x86_64.rpm