안녕하십니까. LG유플러스 입니다.
항상 저희 LG유플러스 Cloud N 서비스를 이용해주시는 고객님께 깊은 감사 인사 드립니다.
 
GNU Bash 원격명령 실행 보안 취약점 대응방안 안내
 
최근 심각한 문제로 보도되고 있는 Linux/Unix bash shellshock와 관련하여 아래와 같이 안내 드립니다.
 
1.     내용 : 리눅스 계열 등 운영체제에서 사용중인 GNU Bash에서 발생하는 임의코드 실행 취약점 (CVE-2014-6271) 보안 업데이트를 우회하여 악용할 수 있는 취약점 발생 (CVE-2014-7169)
공격자는 해당 취약점이 존재하는 시스템을 대상으로 원격에서 악의적인 시스템 명령을 실행시킬 수 있으므로 해결방안에 따라 보안 업데이트 적용 권고

2.     해당 시스템 : GNU Bash4.3 이하 버전을 사용중인 Linux 및 Unix 계열의 서버
[참고사이트]
CentOs = http://lists.centos.org/pipermail/centos/2014-September/146154.html
Debian = https://www.debian.org/security/2014/dsa-3035
Ubuntu = http://www.ubuntu.com/usn/usn-2363-2/
Suse = http://lists.opensuse.org/opensuse-security-announce/2014-09/msg00017.html
Kisa 보안 업데이트 권고 2차= https://krcert.or.kr/kor/data/secNoticeView.jsp?p_bulletin_writing_sequence=22005

3.     취약점 해결 방법안내 (bash 4.3 이상 버전으로 업데이트)
1) 시스템 취약점 확인 방법
패치 전 시스템에 접속하여 하기 명령어 실행
env x='() { :;}; echo vulnerable' bash -c "echo this is a test" 실행
시스템에 취약점이 있다면, 아래와 같이 출력됩니다.
vulnerable
this is a test
vulnerable - 이 문구가 나오면 업데이트 해 주어야 합니다.
2) 패치 방법
아래와 같은 명령어를 이용하여 패치 진행 (yum, apt-get을 이용할 경우 등록된 repository에 따라 4.3 미만 버전으로 업데이트 될 수 있습니다.)
# cd /tmp
# wget http://git.savannah.gnu.org/cgit/bash.git/snapshot/bash-master.tar.gz
# tar zxf bash-master.tar.gz
# cd bash-master/
# ./configure
# make
# sudo mv /bin/bash /bin/bash.old
# sudo chmod a-x /bin/bash.old
# sudo cp -an bash /bin
# sudo make install
# cd ~
Bash 버전이 4.3 이상으로 업데이트 되었는지 확인
# bash –version
GNU bash, version 4.3.30(1)-release (x86_64-unknown-linux-gnu)
Copyright (C) 2013 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later http://gnu.org/licenses/gpl.html
# cd /tmp
# rm -rf bash-master*
 
3) 패치 완료 여부 확인
취약점이 없는 시스템은 아래 두 메시지 중 하나의 형태로 출력됩니다.
env x='() { :;}; echo vulnerable' bash -c "echo this is a test"  실행
this is a test
또는
bash: warning: x: ignoring function definition attempt
bash; error importing function definition for ‘x’
this is a test
 
보다 나은 서비스 제공을 위해 최선을 다하겠습니다.
감사합니다.