Есть ли правильный способ исправить GHOST на Debian Lenny и Squeeze?
По этой ссылке нет планов патчить Ленни https://security-tracker.debian.org/tracker/CVE-2015-0235
Спасибо!
Установить devscripts
Получите патч для lenny от http://pastebin.com/Hhsut197 (на основе официальный патч glibc, удален журнал изменений, новости, адаптирован Makefile для lenny, удален патч №2 для getXXbyYY_r.c)
Бегать: apt-get update && apt-get source libc6; apt-get build-dep libc6
Скопируйте свой патч в glibc-2.7/debian/patches/all
Добавьте название патча в glibc-2.7/debian/patches/series
Запустите rebuild (или установите пакет devscripts и запустите debuild), и все готово
Идея должна быть такой же и для etch. Адаптированный патч для etch находится здесь: pastebin.com/UXGnJd6A
Сжатие исправлено (libc6-2.11.3-4+deb6u4) только если в вашем sources.list есть репозиторий squeeze-lts:
deb http://ftp.uk.debian.org/debian squeeze-lts main
Вы также можете использовать патч eglibc от Squeeze LTS для сборки исправленных пакетов Lenny: http://sources.debian.net/data/main/e/eglibc/2.11.3-4+deb6u4/debian/patches/any/cvs-gethostbyname.diff
Поместите его в glibc-2.7 / debian / patches / any и добавьте в конец файла glibc-2.7 / debian / patches / series. Теперь соберите пакеты, обновите ими свою систему и протестируйте свою систему с помощью инструмента GHOST: https://webshare.uchicago.edu/orgs/ITServices/itsec/Downloads/GHOST.c
Джереми
Я перекомпилировал исходники glibc-2.7 для Debian Lenny, включая патч CVE-2015-0235 для Debian Squeeze LTS.
Поскольку для компиляции этих пакетов требуется некоторое время, вы можете получить копию через https://flo.sh/debian-lenny-cve-2015-0235-glibc-patch/
Проверка уязвимости выглядит нормально, теперь: [00:15:26] root @ [...]: / usr / src / ghost> ./ghost не уязвим
Спасибо, ребята, что добавили это краткое изложение по этому вопросу, -Flo
Обратите внимание, что у вас должен быть настроен исходный репозиторий в вашем /etc/apt/sources.list :
deb http://archive.debian.org/debian/ lenny main contrib non-free
deb-src http://archive.debian.org/debian/ lenny main contrib non-free
Я ждал, не упакует ли кто-нибудь lenny glibc .deb, как это сделал парень из linux.it для shell shock.
Наконец, я сделал это сам, и мне удалось применить оригинальный патч с pastebin.com, упомянутый ранее для параметра width -l.
У нас также все еще работает старый debian sarge, и тот же патч можно применить к glibc-2.3.2 с небольшими изменениями:
http://www.saitis.net/~ndesir/cve-2015-0235-old-debian/sarge/cve-2015-0235.dpatch
и добавьте его в список debian / patches / 00 перед запуском debuild
похоже, хорошо работает до сих пор.
Если ты мне достаточно доверяешь, http://www.saitis.net/~ndesir/cve-2015-0235-old-debian/ также содержит .deb для lenny и sarge (intel).