왜 내 bash 4.1.2 패키지가 shellshock에 취약하지 않습니까? 내 검사가 잘못 되었나요?

Question

내 Bash 쉘 버전은 GNU bash, 버전 4.1.2 (2) -release (x86_64-redhat-linux-gnu)입니다.

나는 그것은 다시 취약 메시지를 인쇄하지 않은 명령

x='() { :;}; echo VULNERABLE' bash -c :. 

이하로 사용하여 셸 쇼크 버그를 테스트했다.

나는 버그가 이유가 될 수있는 것을 bash는 버전 4.3 (https://www.youtube.com/watch?v=u1H12rMdLTg)

까지 존재하는 것을 읽었습니다.

Answer 1

bash의 로컬 지원 버전으로 백포트 된 패치로 업데이트 된 패키지가 쉘 쇼크가 확인 된 날 이내에 주요 배포판에 대해 릴리스되었습니다. (실제로, 그것들은 다소 서둘렀다. 임시 픽스는 종종 최종 릴리스가하는 것보다 export 된 함수에 다른 환경 변수 형식을 사용했다. 즉, 쉘의 한 버전에서 내 보낸 함수는 종종 쉘에 의해 인식되지 않을 것이다. 다른 하나는 서브 프로세스로 실행).

업스트림에 최종 패치 병합이 없다고해서 운영 체제 나 배포판이 백 포트를 밀어 내지 못했음을 의미하지는 않습니다. 사실, 그렇지 않은 경우에는 무책임한 행동을하게됩니다.