ShellShock-Patch-Anleitung

Transkript

1 Beratung und Support Technische Plattform Support-Netz-Portal paedml stabil und zuverlässig vernetzen ShellShock-Patch-Anleitung Alle aktuellen paedml-novell-server Stand paedml Novell Version: alle aktuellen Versionen der paedml-novell-server

2 Impressum Herausgeber Landesmedienzentrum Baden-Württemberg (LMZ) Support-Netz Rotenbergstraße Stuttgart Autoren der Zentralen Expertengruppe Netze (ZEN), Support-Netz, LMZ Hubert Bechthold Stefan Falk Ulrich Frei Carl Heinz Gutjahr Friedrich Heckmann Uwe Labs Alfred Wackler Endredaktion Doreen Edel Bildnachweis Titelbilder: Thinkstock Weitere Informationen Veröffentlicht: 2014 Landesmedienzentrum Baden-Württemberg

3 Inhaltsverzeichnis 1. Vorbereitung Patches anwenden GServer ZServer KServer (Vibe) Filr Schluss... 8

4 Vorwort Wieder einmal ist in der Computerwelt ein neues Einfallstor für ungebetene Besucher bekannt geworden. Die Bash, die Shell sehr vieler Linux-Distributionen, kann ausgenutzt werden, um Schadcode zur Ausführung zu bringen. Diese Sicherheitslücke firmiert unter dem Namen ShellShock bzw. Bash Bug. Auch unsere auf Linux basierenden Server der paedml-novell sind davon betroffen. Glücklicherweise hat Novell recht schnell Patches gegen den ShellShock zur Verfügung gestellt, die wir auf den aktuellen Versionen unserer paedml-novell-server getestet haben. Also für SLES10SP4/OES2SP3: GServer03 SLES11SP2: ZServer KServer (Vibe 3.3/3.4) Filr (Appliance ) ShellShock-Patches für SLES10 vor SP4 / OES2 vor SP3 gibt es nicht! ShellShock-Patches für SLES11 vor SP2 haben wir nicht geprüft (und es sind auch andere, als die hier verwendeten). Wollen Sie einmal testen, ob die Sicherheitslücke auch wirklich vorliegt, so loggen Sie sich als root ein und geben Sie in ein Konsolenfenster (z.b. per PuTTY) auf dem jeweiligen Server Folgendes ein: env x='() { :;}; echo vulnerable' bash -c "echo this is a test" (alles in einer Zeile) Liegt die Sicherheitslücke vor, so erscheint: vulnerable this is a test Liegt die Sicherheitslücke nicht vor, so erscheint nur: this is a test 1. Vorbereitung Vor dem Einspielen der Patches empfehlen wir, für den jeweiligen Server ein Sicherheits-Backup zu erstellen, z.b. per ESXi-Snapshot oder vollständiger Kopie. Laden Sie sich die Datei shellshock.zip von der Support-Netz Website herunter und packen Sie diese in einem leeren Verzeichnis auf einer Arbeitsstation aus. Es entsteht die Unterverzeichnisstruktur: / Stand Seite 4

5 Abb. 1: In jedem dieser Unterverzeichnisse befinden sich die jeweils nötigen Patch-Dateien. 2. Patches anwenden Im Folgenden kopieren Sie z.b. mit WinSCP das jeweilige Unterverzeichnis in das Verzeichnis /root des jeweiligen Servers. Nach erfolgter Patch-Einspielung sollten Sie dieses Unterverzeichnis wieder löschen. Ein Neustart der Server (außer Filr) ist nicht nötig. Im Einzelnen: 2.1 GServer03 Kopieren Sie das Verzeichnis OES203 nach /root. Öffnen Sie ein Konsolenfenster (z.b. per PuTTY), loggen sich als root ein und führen anschließend folgende Befehle (fett gedruckt) aus, deren Ausgaben wir hier auch mit dargestellt haben: cd /root/oes203 gserver03:~/oes203 # sh apply-oes203-ss.sh 1:bash ########################################### [100%] 1:readline ########################################### [100%] 1:mozilla-nspr ########################################### [100%] 1:mozilla-nss ########################################### [100%] Das Skript macht außerdem einen Eintrag in /etc/paedml-release. Wenn Sie das kopierte Verzeichnis wieder entfernen wollen, geben Sie ein: cd.. rm r OES ZServer Kopieren Sie das Verzeichnis SLES11SP2 nach /root. Öffnen Sie ein Konsolenfenster (z.b. per PuTTY), loggen sich als root ein und führen anschließend folgende Befehle (fett gedruckt) aus, deren Ausgaben wir hier auch mit dargestellt haben: / Stand Seite 5

6 cd /root/sles11sp2 ZServer:~/SLES11SP2 # tar xvf ssbash11sp2-64.tar bash x86_64.rpm bash-doc x86_64.rpm libreadline x86_64.rpm libreadline5-32bit x86_64.rpm readline-doc x86_64.rpm ZServer:~/SLES11SP2 # sh apply-sles11sp2-ss.sh 1:bash ########################################### [100%] 1:bash-doc ########################################### [100%] 1:libreadline5 ########################################### [100%] 1:libreadline5-32bit ########################################### [100%] 1:readline-doc ########################################### [100%] Das Skript macht außerdem einen Eintrag in /etc/paedml-release. Wenn Sie das kopierte Verzeichnis wieder entfernen wollen, geben Sie ein: cd.. rm r SLES11SP2 2.3 KServer (Vibe) Gehen Sie genauso vor, wie für den ZServer unter 2.2 beschrieben. 2.4 Filr Das hier beschriebene Verfahren und der zugehörige Patch bezieht sich auf die vom Support-Netz veröffentlichte Filr-Appliance in der Version ( Das Gleiche soll laut Novell auch für die Filr-Appliance 1.0 in der Version gelten, was wir aber nicht getestet haben! Von einer Arbeitsstation starten Sie im Browser die Filr-Administration mit oder alternativ und loggen sich als vaadmin ein. Klicken Sie auf Appliance System Configuration, dann auf System Services und prüfen Sie nach, ob SSH eingeschaltet ist. Falls nicht, klicken Sie auf SSH / Action / Start. Hinweise Falls Sie keinen SSH-Zugriff auf den Filr wünschen, müssen Sie SSH nach der Patch- Installation wieder stoppen. Mit dem Internet Explorer 8 von einer XP- oder einer Windows 7- Arbeitsstation können Sie u.u. die Dienste nicht stoppen, weil unter Available Services nichts angezeigt wird. Sie müssten dann auf eine höhere IE-Version oder auf einen anderen Browser, z.b. auf den Firefox ausweichen. / Stand Seite 6

7 Ebenfalls in System Services klicken Sie nacheinander auf Novell Filr > Action > Stop und Novell FAMT > Action > Stop. Kopieren Sie aus dem Verzeichnis Filr101 die Datei Filr-1.0.x-SU2.zip nach /root. Öffnen Sie ein Konsolenfenster (z.b. per PuTTY), loggen sich als root ein und führen Sie anschließend folgende Befehle (fett gedruckt) aus, deren Ausgaben wir hier auch mit dargestellt haben: cd /root filr:~ # unzip Filr-1.0.x-SU2.zip Archive: Filr-1.0.x-SU2.zip inflating: Filr-1.0.x-SU2/apply-filr-1.0.x-su2.sh creating: Filr-1.0.x-SU2/backup/ inflating: Filr-1.0.x-SU2/backup/bash x86_64.rpm inflating: Filr-1.0.x-SU2/backup/libfreebl x86_64.rpm inflating: Filr-1.0.x-SU2/backup/libreadline x86_64.rpm inflating: Filr-1.0.x-SU2/backup/mozilla-nspr x86_64.rpm inflating: Filr-1.0.x-SU2/backup/mozilla-nss x86_64.rpm creating: Filr-1.0.x-SU2/fixes/ inflating: Filr-1.0.x-SU2/fixes/bash x86_64.rpm inflating: Filr-1.0.x-SU2/fixes/libfreebl x86_64.rpm inflating: Filr-1.0.x-SU2/fixes/libreadline x86_64.rpm inflating: Filr-1.0.x-SU2/fixes/mozilla-nspr x86_64.rpm inflating: Filr-1.0.x-SU2/fixes/mozilla-nss x86_64.rpm inflating: Filr-1.0.x-SU2/readme.txt cd /root/filr-1.0.x-su2 filr:~/filr-1.0.x-su2 # sh apply-filr-1.0.x-su2.sh 1:bash ########################################### [100%] 1:libreadline5 ########################################### [100%] 1:libfreebl3 ########################################### [100%] 1:mozilla-nspr ########################################### [100%] 1:mozilla-nss ########################################### [100%] Novell Filr / SU2 update applied on :14:30 Mit dem Befehl less /opt/novell/patchlevel können Sie die Patches überprüfen. less können Sie mit q verlassen. Löschen Sie im Verzeichnis /root die Datei Filr-1.0.x-SU2.zip und das Verzeichnis Filr-1.0.x-SU2 (am leichtesten mit WinSCP). Falls Sie jedoch die alten bash-relevanten Dateien, die vom Skript als Backup angelegt wurden, behalten wollen, löschen Sie das Verzeichnis Filr-1.0.x-SU2 nicht. Starten Sie jetzt die Filr-Appliance neu: entweder mit dem Button Reboot in der Novell Appliance Configuration im noch offenen Browser oder mit init 6 im Konsolenfenster. / Stand Seite 7

8 3. Schluss Wie hoffen, dass Sie mit unserer Anleitung die Sicherheitslücke schnell und unkompliziert schließen können. In diesem Sinne wünschen wir Ihnen mit der paedml-novell weiterhin viel Erfolg. Ihre ZEN-Novell. / Stand Seite 8

9 Landesmedienzentrum Baden-Württemberg (LMZ) Support Netz Rotenbergstraße Stuttgart Landesmedienzentrum Baden-Württemberg, 2014