Ok, merci pour ce site Tristan Très utile pour tout tester.
Dans une machine (pas une Release 2), j'étais en version 3.0.17 (après upgrade) en date du 24/09/2014
et j'avais encore les 4 derniers exploits sur les 7 qui passaient.
Depuis j'ai recompilé une version 3.0.22 et là plus rien ne passe.
Les patch 18->22 datent tous de moins d'1 semaine, le patch n°22 datant d'hier seulement
donc les binaires prévus pour la Release 2 là :
ftp://ftp.ovh.net/made-in-ovh/release/2.33-2.34/
ne peuvent pas être à totalement jour vu leur date de création.
Donc pour une Release 2 : mieux vaut attendre qu'OVH bouge.
Pour les plus aventureux/expérimentés, faire comme moi : récupérer les sources de Bash là :
http://ftp.gnu.org/gnu/bash/
récupérer la version de Bash la plus proche de celle que l'on a déjà (une 3.0, une 3.2, une 4.3, etc.)
et ensuite patcher le code source, le compiler et l'installer.
Par exemple pour une version 3.0 :
On télécharge et décompresse le code source principal :
Code:
# wget http://ftp.gnu.org/gnu/bash/bash-3.0.tar.gz
# tar -zxvf bash-3.0.tar.gz
# cd bash
On récupère tous les patch concernant cette version de Bash :
Code:
# wget http://ftp.gnu.org/gnu/bash/bash-3.0-patches/bash30-001
# wget http://ftp.gnu.org/gnu/bash/bash-3.0-patches/bash30-002
# wget http://ftp.gnu.org/gnu/bash/bash-3.0-patches/bash30-003
# [...]
# wget http://ftp.gnu.org/gnu/bash/bash-3.0-patches/bash30-022
On applique les patch sur le code source principal :
Code:
# patch -p0 < bash30-001
# patch -p0 < bash30-002
# patch -p0 < bash30-003
# [...]
# patch -p0 < bash30-022
et enfin la compilation & installation :
Code:
# ./configure
# make
# make install
plus qu'à vérifier que les exploits ne passent plus
(faire gaffe au répertoire d'installation du nouveau Bash qui n'écrasera peut-être pas l'ancien Bash,
auquel cas il faut renommer l'ancien sinon il risque de prendre le dessus sur le nouveau Bash)