shellshock

• ah new order vah new order.
  
  that's the way - shellshock
  hold on!it's never enough
  it's never enough until your heart stops beating
  the deeper you get, the sweeter the pain
  don't give up the game until your heart stops beating
  
  you call me on the phone, you left me all alone
  all i get from you is shellshock
  another day goes by and all i do is cry
  all i get from you is shellshock
  i'd tell the world and save my soul
  but rain falls down and i feel cold
  a cold that sleeps within my heart
  it tears the earth and sun apart
  but that's the way that i can win
  a victim of your evil sin
  you've lost the hold you've had on me
  by causing the changes that you never see
  
  hold on!it's never enough
  it's never enough until your heart stops beating
  the deeper you get, the sweeter the pain
  don't give up the game until your heart stops beating
  
  when we walk through open doorways,
  counting time in one or more ways
  we can't find our peace of mind
  and life becomes a life of crime
  and that's the day i call your name
  i came to you, i called in vain
  you lost the faith within your heart
  the fire in your soul from the end to the start
  
  hold on!it's never enough
  it's never enough until your heart stops beating
  the deeper you get, the sweeter the pain
  don't give up the game until your heart stops beating
  
  i've been good and i've been bad
  but common sense i've never had
  no matter how i try and try,
  i hide the truth behind a lie
  but that's the way that i can win
  a victim of your evil sin
  you lost the faith within your heart
  the fire in your soul from the end to the start
  
  hold on!it's never enough
  it's never enough until your heart stops beating
  the deeper you get, the sweeter the pain
  don't give up the game until your heart stops beating
• (bkz: shell shock)
• cve-2014-7169 kodlu bash'teki remote code execution acigi.
  
  http://seclists.org/oss-sec/2014/q3/649
• çoğu linux dağıtımının ve os x işletim sisteminin kabuğu olan bash'de dün itibariyle bir bug keşfedildi. bu işletim sistemlerini kullanan kullanıcılar ve serverlar'ın çoğu şu an bu bug'a karşı açık durumdalar. maalesef bu öyle bir bug ki, heartbleed'den bile beter olduğu söyleniyor. (bash bug olarak da geçiyor)
  
  sistemlerimizin bu bug'a karşı açık olup olmadığını kontrol etmek için terminale;
  
  env x='() { :;}; echo vulnerable' bash -c "echo sıçtık"
  
  yazıyoruz. enter'a basınca
  
  vulnerable
  sıçtık
  
  yazısı çıkarsa sıçtığımızı anlıyoruz.
  
  onun yerine
  
  bash: warning: x: ignoring function definition attempt
  bash: error importing function definition for `x'
  sıçtık
  
  gibi bir şey görürseniz, sisteminiz güvende demektir.
  
  peki ne yapıcaz? ubuntu, debian,centos vs. yama çıkardılar ve fakat henüz bu yamalar tam anlamıyla etkili olamadı. şu an için beklemekten başka bir çare yok yani.
  
  ayrıntılar için;
  
  http://www.troyhunt.com/…ou-need-to-know-about.html
  
  http://askubuntu.com/…erability-and-how-do-i-fix-it
  
  http://www.cnet.com/…leave-it-systems-shellshocked/
• (bkz: fappening)?
• ben zsh kullaniyorum onda da acik var aq acaba neyin kafasi bu. ney kullanak ksh mi kullanak anlamiyorum ki. bir de osx'in bu update'i nasil alacagi supheli.
• komik olaylardan biri de bash upstream maintainerlarin bug'i fixlediklerini sanip upstreame yollamalari ve redhat'cilerin hala fixlenmemis oldugunu kesfetmeleri.
  
  https://access.redhat.com/articles/1200223
  
  30 yillik software oldugundan kodu mu anlasilamiyor, maintainer gonullu oldugu icin konuya yakindan alakali mi degil, regression testleri mi yapmiyorlar nedir bilmiyorum ama neresinden tutsan elinde kaliyor.
  
  bu yonleriyle openssl'deki heartbleed'ı andirmamasi icten bile degil.
• konuynan ilgili guzel bi makale:
  
  http://www.alienvault.com/…ve-2014-6721-in-the-wild
  
  ilk fix'ten sonra hala acik duzelmedi. yoldan gecen corumlu amca'ya sordum "open source community eyi gidiyo eyi" dedi.
• 64 bit 3.13.0-35-generic üzerinde çalışan zsh 5.0.2'min yakalanmadığı bug.
• mac os x calistiran makinanizda muhtemelen uzunca bir sure apple fix cikarana kadar kapatilmayacak acik. bunun nedeni hic birimiz mac'imizi server olarak kullanmiyoruz ve boyle bir seyi execute edecek sekilde listen eden portumuz yok.
  
  yine de siz fixleyin.
  
  1) homebrew kullananlar
  
  brew install bash (cunku muhtemelen bash'i brewden kurmadiniz)
  (ama diyelim bi manyaklik yapip gecmiste boyle bir sey yapmissiniz) brew update && brew upgrade bash
  
  2) homebrew kullanmayanlar.
  
  homebrew kullanin olm fakir misiniz? saka saka. linkte anlatilmis, kodu indirip derlemeniz gerekiyor. xcode command line tools kurulu olmali sisteminizde. http://apple.stackexchange.com/a/146851/6707