In questa guida vedremo come verificare e risolvere il problema di Shellshock nella nostra distribuzione Linux.

Shellshock Test
Nei giorni scorsi abbiamo rilasciato un’articolo dedicato a Shellshock, bug segnalato dai ricercatori di Red Hat che sta facendo molto parlare dato che “potrebbe” mettere a rischio milioni di personal computer e server. Come il solito, a poche ore dalla segnalazione i developer delle principali distribuzioni Linux avevano già rilasciato un’aggiornamento in grado di risolvere il bug, evitando cosi che utenti malintenzionati potessero utilizzare il bug per poter operare sul nostro sistema (operazione non molto semplice).
Possiamo inoltre verificare con estrema facilità se il nostro sistema operativo o meno è “infetto” da Shellshock.

Basta semplicemente avviare il terminale e digitare:

env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

se avremo come risultato:

vulnerable
this is a test

vuol dire che nel nostro sistema è presente il bug Shellshock in bash

se invece abbiamo come risultato

this is a test

possiamo star tranquilli.

Per risolvere il problema basta semplicemente aggiornare Bash digitando da terminale:

Per Debian, Ubuntu e derivate:

sudo apt-get update
sudo apt-get install bash

Per Fedora, CentOS, Red Hat e derivate:

sudo yum install bash

Per openSUSE e derivate:

sudo zypper install bash

Per Arch Linux e derivate, Chakra, Manjaro ecc:

sudo pacman -Sy bash

Al termine basta riavviare la verifica, ed ecco risolto il problema Shellshock.

  • Jag

    no basta ste sfide…me sembra quattroruote

    • noname

      io voglio i grafici coppia-potenza-giri motore! XD

      • Jag

        aspè te ridi…dagli un giorno e “grafici” riveno…. LOL O_O”…. e incominceno a dire che lu Mac ci fanno i “grafici professionisti” e con lu linux nun se pò… ecchetuttolumondo cià bisogno de usà fotosciop professionale per raddrizzare le foto der mare ecc ecc…. arveno ariveno…

        • samuele

          non ho capito un caz..

        • pippo franco & alvaro vitali

          Forza Lazio!!!

        • espertone Core i7

          Voglio una piattaforma performante e professionale.
          Voglio poterci fare editing gaming joggigng jigling.
          poi però ce guardo facebook e le mail.
          però professionalmente.
          cxxo!

    • a me sembrano interessanti invece dato che in alcuni casi mettono in risalto come lo sviluppo di una distro abbia giovato non solo nell’interfaccia grafica ma anche nel supporto e performance
      poi non siamo tutti uguali e per alcuni possono piacere ad altri meno

      • Simone

        quoto

  • massimiliano

    complimenti agli sviluppatori canonical, arrivera’ il giorno in cui anche Mark rilascera’ propri pc come l’anno prossimo per smartphones e tablet 🙂

    • Torno Nel Mio Limbo

      Sarebbe ora :p

  • Stefano Toneatto

    Wow, non me lo sarei mai aspettato… Caspita, complimenti!!! Non vedo l’ora di andare a spifferarlo in giro 🙂

    • ienuz12

      Non e’ la prima volta che Ubuntu batte OSX nelle prestazioni.

  • ste

    Non so perchè ma questi test mi lasciano sempre un po’ dubbioso. Al di là di questo e di ogni altra considerazione personale di carattere etico e non su Canonical, dopo la delusione della 11.10 mi è tornata la voglia di provare una Ubuntu in questi giorni. Mi sono buttato su questa 13.04 ma, ahimè, è durata tre giorni nei quali l’ho pure reinstallata un’altra volta ma sempre con scarsi risultati. Continui crash del sistema e altri problemucci me ne hanno dato un’impressione di assoluta instabilità che mi ha costretto ad abbandonarla subito. E dico purtroppo perchè mi stava piacendo ed era piuttosto scattante. Quindi siccome mi era rimasta la voglia di Ubuntu ho tolto la 13.04 per mettere la lts 12.04. Per ora nessun problema e sto pure trovando Unity meno schifoso di quello che ricordavo. Se, come dicono, la 13.04 che io ho trovato così traballante riesce a battere Mac OS in “trasferta”, c’è da ben sperare per il futuro di Ubuntu. Se tra questa versione e la prossima 13.10 riescono a fare e a rendere stabile tutto quello che hanno promesso ultimamente la prossima lts sarà una bella forza secondo me. Vedremo!

    • Ilgard

      A me la 13.04 funziona bene, l’unico problema che ho è dal punto di vista grafico visto che ho una scheda Ati legacy ed ho qualche problema con i driver open, ora vedrò se riesco a mettere quelli closed.

    • ienuz12

      A me la 13.04 va meravigliosamente bene. Nessun problema di sorta, a parte l’installazione di Chrome e Skype che comunque e’ facilmente risolvibile. Gia’ pronto per buttarmi sulla daily build di Ubuntu 13.10. Per me non c’e’ mai nessuna sorpresa per quanto riguarda le nuovi versioni di Ubuntu visto che testo le daily buid non appena escono. Canonical ha fatto, come gia’ scritto, grandi passi avanti per far diventare Ubuntu una rolling release. Non ho mai dovuto infatti fare una reinstallazione di Ubuntu 13.04, sin dalla prima build che ho testato. Ubuntu 13.04 e’, a mio avviso, valida come la mitica versione di Ubuntu 10.10 (che era meglio della 10.04).

      • Nicholas Terzi

        hanno risolto il problema dei driver proprietari? e il problema dei file recenti della dash?

  • EnricoD

    si infatti… ma chi se ne frega… non comprerei mai un prodotto targato apple fatto per i bimbiminkia… a prescinde dai risultati…

    • Ilgard

      Secondo me il problema non è tanto che il sistema sia per bimbiminkia (mi pare assurdo criticare un sistema solo perché è semplice da usare), quanto per la totale assenza di libertà dal punto di vista software e gli spaventosi sovrapprezzi applicati all’hardware.

      • noname

        Se continua così la Canonical batterà la Apple anche dal punto di vista della non-libertà. Per quel che riguarda la violazione della privacy stanno già facendo le cose in grande, sono quasi allo stesso livello. Anche se hanno fato un passino indietro, cripteranno i dati; me te li ciullano comunque eh…

        • Ilgard

          Ma figuriamoci. Ed in cosa non saresti libero con Ubuntu?
          Per quanto riguarda la privacy, basta semplicemente bloccare la memorizzazione dei dati tramite le impostazioni di Privacy (non l’avresti mai detto, eh?) e fine del problema.

          • Senza contare che il codice di Ubuntu è aperto e se di qualcosa non sei convinto, ti basta controllarlo, e modificarlo se ti va.

          • Nicholas Terzi

            beh cavolo! io mi sono rotto di ubuntu dalla 12.10 non si può più togliere i file recenti dalla dah, nemmeno con lo strumento privacy fatto ad hoc per quello non funziona, ogni volta che provo a cancellare la cronologia, apro la dash e mi trovo le anteprime di foto video e documenti appena usati. Brutta cosa! andandoa vanti così cambierò distro!
            e poi la risposta di uno sviluppatore canonical qual è stata? “ubuntu è gratuita quindi la privacy non verrà più tutelata come una volta, la strada intrapresa è un’altra… se uno vuole privacy, punti su una distro diversa che ce ne sono tante dedicate a quello” risposta odiosa direi…

          • Mi verrebbe da chiederti se hai anche pulito la cache della dash e fatto il logout prima di provare a vedere se i file recenti erano ancora lì, ma ad ogni modo, mi pare che fortunatamente nessuno obblighi nessuno a usare Unity come interfaccia, ci sono anche Kubuntu, Xubuntu e Lubuntu che non sono affatto male.

          • Nicholas Terzi

            beh nella 12.10 avevo anche riavviato, (pulire la chache dellla dash, non ho idea di come fare) ma cmq nada… ho provaot a chiedere conisglio nella community ma nessuno sapeva risolvere il problema anzi! tanti me lo cheidevano a me….. mentre nella 13.04 mi sembra di aver ravviato ma niente. si le derivate le uso, ma non mi convincono esteticamente quanto unity, io all’estetica do un po’ di importanza…. da semrpe sono utente kde, ma mi ha stufato, non mi piace esteticamente…

          • Ti consiglio di ripulire il database di Zeitgeist, come da istruzioni che puoi trovare qui: http://askubuntu.com/a/29564

      • EnricoD

        no no… io non intendevo dire questo… figurati… anzi… apprezzo sistemi facili da usare come ad esempio Mint…
        si… e` giusto quello che dici tu… ma sono convinto che i prodotti della apple siano accessori di moda ben pubblicizzati, per questo vendono… chi degli utenti apple sfrutta realmente le potenzialita’ dei prodotti apple, ammesso che ne abbiano? quale utente apple si mette a vedere le caratteristiche hardware dei mac, che sono pessime anche rispetto ad altri prodotti che montano Win?
        se tu parli co la gente, la maggior parte e` convinta che il Mac e` una bestia e che l iphone e` il miglior smartphone… il 90% degli utenti apple comprano quei prodotti perche fanno tendenza o per sentito dire…
        siamo in pochi a riflettere sulle cose che hai detto tu…
        sul fatto ad es. che un mac di 1000 fa piu schifo a livello hardware di un asus da 700 euro…

        era questo quello che intendevo…

        • Simone

          Quoto.

          Gli utenti Apple sono ‘talebani’.

          Loro acquistano le cose per ‘fede’ e non per le caratteristiche hardware o software.

          Per loro, tutto quello che gli viene dato è meglio degli altri.

          Parlando con un fanatico Apple quando da un po’ era uscito l’i7 e loro continuavano a vende l’i3 (l’i5 stava uscendo) mi rispose convinto che intel i processori per Apple li costruiva ‘apposta’. Cioè ne creava una linea particolare studiata per loro…

          • simone

            …continuavano ad avere….
            ho digitato male 😀

          • premetto che io possiedo un mac e lo utilizzo dal lontano 2003 (10 anni fa) una volta mac faceva la differenza in tutto sia da parte del sistema operativo (mac osx tiger era un sistema veramente rivoluzionario) che il sistema stesso dall’hardware e qualità dei materiali e design

            il massimo fu il powerbook g4 12 pollici (ossia il primo semi notebook) e il 17 (lo pagato quasi 3500 euro) che era veramente una rivoluzione tecnologica dato che fu il primo a portare la tastiera retroilluminato schermo da 17 con un’ottima autonomia tutto in alluminio e altri dettagli che all’ora erano unici
            con l’arrivo di processori intel e leopard mac ormai è diventato sia un pc che sistema operativo alla pari se non inferiore degli altri
            questo è solo il mio parere

        • angelo23

          a parità di hardware apple costa praticamente doppio rispetto pc tradizionale il solo sistema operativo non mi sembra sufficiente per giustificare questo assurdo ricarico

          purtroppo la vera differenza tra mondo apple e linux è la qualità-quantità software commerciale praticamente inesistente in linux

          • EnricoD

            Infatti

    • Festa Giacomo

      Su ipad e iphone ti posso fare ragione perchè anche io mi voglio liberare del mio ipad che non ci puoi scaricare nulla da internet, non puoi inviare allegati da mail, non puoi usare il bluethoot ecc… ma dire che gli imac e macbook sono da bimbiminchia vuol dire che non ne hai mai avuto uno tra le mani per uso quotidiano, adesso che o un macbook per me quasi tutti i notebook in commercio sono scarsi.

  • Festa Giacomo

    Io ho un macbook core i7 e devo dire che mountain lion ha una cattiva gestione della ram, spesso capita che non libera la ram dalle applicazioni chiuse e a volte mi ritrovo con i 4 gb pieni. Rimpiango snow leopard che installato sul mio macbook diventa un bolide.

  • mrko27

    Il mio e’ il terzo Mac che monta Ubuntu su doppia partizione. A parte che uso Linux dalla sua nascita, ma posso testimoniare che le macchine Mac con linux sono veramente performanti. Anche con una configurazione HD inferiore la macchina Mac in abbinamento ad Ubuntu è sempre piu’ performante di una qualunque macchina Win . In pratica uso Linux per lavoro e Lion x svago. Ovviamente le due partizioni si vedono e scambiano reciprocamente dati.

    • Sa Mu

      Ciao, una domanda: quale file system utilizzi su ubuntu? Che utilizzi in OsX per leggere quella partizione?

    • daria

      un genio compri hardware mac poi monti linux 🙂

      • Brau

        Sempre meglio dei geni che comprano Mac e poi ci mettono su Windows *trollface*

      • Simone Bonzanini

        Daria, tu devi essere un geniaccio di quelli che non lo farebbe mai…beh, il mio primo Ubuntu l’ho installato a fianco di Mountain Lion, poi ho direttamente piallato Mountain per dedicare tutto lo spazio a Linux, perché non ne potevo più di costrizioni. Poi ho addirittura smerciato la macchina ad un aspirante Applefag e con quallo che me l’ha pagata ho comprato su ebay un Acer Ferrari 5000 in fibra di carbonio dello stesso anno, su cui gira tutt’ora Ubuntu.

  • EnricoD

    si ma voi siete di quel 10% che evidentemente sfrutta delle potenzialita` che altri neanche vedono…

    fidati che i notebook in commercio se ci metti linux resuscitano!.. non e` che sono scarsi, boh..dipende… e` winzozz che fa ride! …
    comunque penso che i prezzi sono spropositati… bolide o non …

  • Evvai! C’era da aspettarselo! Ubuntu rulez!

  • mikronimo

    Bè, complimenti a Canonical; aggiungo che l’idea di un hw sviluppato su indicazioni di una distro linux o come minimo del kernel linux è intrigante: credo che se ne vedrebbero delle belle!

  • daria

    non capiscono perchè si ostinano ad utilizziare una distro piena di bug come ubuntu mistero….

    • Non esagerare. Se fosse piena di bug come dici tu non si potrebbe nemmeno usare.
      Edit: Ci sono troppi pollici in giù nei commenti, ma hanno preso di mira questo blog per caso?

      • E’ da un paio di versioni che quando Ubuntu esce ha ancora dei bug che direi limitanti.
        Non sono di priorità alta o gravi per gli svilupattori ma sono limitanti per gli utenti che non riescono ad usufruire di Ubuntu correttamente. In ubuntu 12.10 installando i driver proprietari mancava una dipendenze con il kernel e quindi non veniva usati, in questa non funziona l’ audio HDMI. Senza contare i problemi con plymouth e driver proprietari che sono esistiti per tre versioni consecutive e che ad oggi su alcuni portatili ancora non funzionano i tasti “fn” e quello per disattivare touchpad.

        • Beh, effettivamente sono d’accordo. Forse Canonical si è concentrata troppo su Unity. Ora dovrebbe correggere questi problemi. Speriamo presto.

    • Il tuo “piena di bug” si riferisce a statistiche prelevate dai bug tracker o sono solo sparate gratuite perché magari tu preferisci Arch o qualche altra distribuzione più orientata alla configurazione e ottimizzazione estrema e non ti stanno simpatici gli utenti di distro debian-based?

    • carlo coppa

      Perché è la migliore ! E quelle che vengono definite “perfette” alla prova dei fatti sono molto peggio di Ubuntu, con bug ovunque !

  • floriano

    la dock trasversale di unity continua a non convincermi, perchè sia microsoft che canonical continuano a copiare i difetti dal mondo apple??? i classici geni del marketing da 4 soldi???

    • Lollo

      basta levarla!
      imposta un autohide pesantissimo, compare solo se schiacci power e può essere comodo in alcuni casi.
      E’ vero, il sistema in verità la carica lo stesso, ma per la maggior parte dell’hardware attuale non è un problema.

    • Innanzitutto “continua a non convincermi” non è un campione statistico appropriato per trarre giudizi di usabilità, bensì esprime solo le tue personali opinioni in termini di GUI. In secondo luogo ci dovresti dire di preciso di quali “difetti copiati” stai parlando.

  • EnricoD

    Forse. .. Perché quelli di Apple sempre co sta storia che gli altri copiano?? Basta, è ridicolo

  • malcom

    Eh ma basta però, quando Ubuntu non mi fa riavviare il pc dopo la sospensione, la batteria dura meno della metà, le chiavette interdet non le vede, a ogni aggiornamento mi fa casini con le configurazioni, per configurare un monitor esterno devo comunque installare software proprietario… ma tutte queste belle cose non le vede nessuno? Ora OSX farà pietà, ma al confronto il resto è davvero snervante.

    • “per configurare un monitor esterno devo comunque installare software proprietario”

      Ah certo, questo è sicuramente “colpa” di Ubuntu. 🙂

      • Simone Bonzanini

        Lasciamo perdere il punto di chi sia la colpa o il merito, qui si discute su quale OS sia migliore, e a parte che considero Phoronix affidabile come il mio criceto (che è morto) non va discusso il perché e percome. Purtroppo la verità è che noi siamo sempre un passo indietro. E te lo dice un ex apple.

        • Veramente mi pare si discuta di quale sia il sistema con i benchmark più alti, anche perché “migliore” è un concetto molto vago, a mio parere. 🙂

  • LelixSuper

    Sempre Ubuntu…ma non per questo lo critico, anzi mi piace.

  • jeancloudvandamme

    siiiiiiiiiiiiiiiiiii ma windows e sempre nr 1 per che …su quallsiasi prob che hai:restart e funziona hahahha

  • l’output per chi non è infetto è solo

    “this is a test”
    e non
    “echo this is a test”
    “echo” è il comando

    • Angelo Michele Merisi

      ma se nella stringa la frase “echo this is a test” non dovrebbe essere riproposta come tale e quindi anche con la parola echo, visto che fa parte del virgolettato?

      • bash -c esegue un comando e il comando è echo e echo mostra la stringa this is a test

        • Franco Fait

          tante preoccupazioni per un bug di discutibile rilievo in bash scoperto casualmente dop 20 anni , per poi installare un SO magari in versione semirolling che di bug ben più noti e pericolosi se ne portano dietro a migliaia . A me ce scappa solo da ridere.

          • ma infatti non sono preoccupato, è altamente improbabile che in un sistema casalingo venga sfruttata tale falla, così come credo sia difficile sfruttarla in un sistema server ben controllato, inoltre stanno aggiornando praticamente ogni giorno bash.

            secondo me è un bug grave sulla teoria, ma nella pratica è difficilmente sfruttabile nella maggioranza dei casi

  • Giulio Mantovani

    a me da errore il comando…

    • che errore ti da?

      • Giulio Mantovani

        env x='() { :;}; echo vulnerable’ bash -c “echo this is a test”
        bash: attenzione: x: ignoring function definition attempt
        bash: errore nell’importazione della definizione di funzione per “x”
        this is a test

        riporta this is a test, ma c’è quel problema sopra e non vorrei che falsasse il risultato 🙂

        • usi ubuntu per caso?
          comunque dovresti essere a posto, infatti ti da errore.

          adesso non so di preciso del perchè c’è l’errore, a me non lo da ma ad altri si, comunque se hai l’errore non sei vulnerabile.

          comunque se aggiorni costantemente il sistema non hai problemi visto che ormai tutte le principali distro hanno aggiornato, alcune addirittura ancora prima che uscisse la notizia nei vari blog

          • Giulio Mantovani

            sono su chakra 🙂

  • EnricoD

    Io ho messo omzsh invece.. almeno c’ho autocompletamento e controllo ortografico… e in più me la posso temare come mi pare e piace in modo semplice 🙂

    qui l’autore spiega un po di cose

    https : // github . com/robbyrussell/oh-my-zsh/issues/3176

    • Simel

      l’autocompletamento c’è anche con bash però. Con il TAB.

      • si ma l’autocompletamente di zsh è più avanzato, io uso bash, però ogni tanto mi è capitato di usare zsh e devo dire che è davvero la shell definitiva, è davvero ben fatta e l’autocompletamente è migliore di quello di bash

      • EnricoD

        Ha risp dea1993 praticamente XD

    • sabayonino

      potrai uiizzare anche altre shell , ma se nella variabile d’ambiente del sistema è impostata “bash” , i programmi che la richiedono useranno quella .

      per i tuoi usi puoi utiizzare quello che vuoi.

      # echo $SHELL

      molti programmi potrebbero richiamare la bash stessa ( #!/bin/bash)

    • luca020400

      Utilizzatore accanito di zsh
      Ho visto che nel path ho anche zsh5 . Cosa cambia ???
      Grazie

      • EnricoD

        non saprei, penso che sia la versione più aggiornata che dovrebbe essere proprio la 5.x

        • luca020400

          Perché non vedo nessuna differenza
          Comunque in questi ho riprovato bash : è stato un trauma 😀

  • etc_init_d

    mint 17 non affetto! proprio ieri c’è stato un aggiornamento di bash, immagino sia per quello

  • Ubuntu 14.04 non affetto… ho appena fatto il test…

    • Ocelot

      Non affetto out of the box? O dopo aggiornamenti?

    • Andrea

      La stessa versione di Ubuntu a me risulta vulnerabile e non c’è nessun aggiornamento…

      • mrholiday

        usi update manager? provato con il tastino “check update”?
        se usi il terminale prova ad aprire un altro terminale (diverso da quello usato per fare aggiornamento)

  • Davide Depau

    Se non è affetto deve visualizzare questo:
    bash: warning: x: ignoring function definition attempt
    bash: error importing function definition for `x’
    this is a test

  • Eheh…. sono tra quelli il cui risultato è stato proprio: “this is a test”.
    T’ho fregato Shellshock dei miei stivali! XD

  • adalberto santarelli✰✰✰✰✰

    “this is a test” questo il mio risultato. confesso che avevo un tantino paura

    • Kim Allamandola

      Per cosa? Hai ancora delle webapp CGI?

  • comunque, le patch fatte dagli sviluppatori non risolvono il problema, lo limitano soltanto, infatti è ancora possibile eseguire codice, usando comandi non ancora inseriti nelle liste di controllo

    a quanto pare l’unica soluzione è rivedere totalmente bash comportando per anche a malfunzionamenti vari.

    fonte http://www.tomshw.it/cont/news/shellshock-e-ancora-una-minaccia-le-patch-solo-un-palliativo/59459/1.html

    • sabayonino

      infatti sto ricevendo aggiornamenti continui. in pochi giorni sono passati da bash-4.2_p48 a bash-4.2_p50 (e versioni inferiori) di pochi minuti fa e sempre reltivi al CVE incriminato

      😀

      riusciranno i nostri eroi nell’impresa a breve termine ?

      • infatti da quel che ho capito per ora non stanno facendo altro che mettere in blacklist (o una roba del genere) dei comandi, per limitare il danno, ma se si usano comandi non controllati, il problema sussiste lo stesso

  • giuseppe

    deepin 2014.1 non affetto

  • mr. nessuno

    potete mettere altri comandi per fare test da esegure, se si ha il sospetto cheil pc è affetto da q.che forma di infezione/malware o keylogger o altre infezioni subdole, magari altri comandi per fare scansione approfondita da terminale, si può impostare scansione con tempi prestabiliti e di unità specifiche esterne, oltre il disco o la partizione in uso di sistema?
    grazie.

    • Kim Allamandola

      Lascia perdere: GNU/Linux non ha di questi problemi, devi ancora disintossicarti da Windows 🙂

      ShellLock è una vulnerabilità SOLO per server che usano ancora CGI (ben pochi, lasciti dei primi anni 90′, e no i router domestici sono esclusi usando BusyBox) e ben poco altro. Nessuno può bucarti un desktop con ShellLock. A parte ciò anche gli utenti CGI corrono rischi piuttosto limitati: l’accesso è con lo stesso utente che fa girare CGI, ci vogliono altre vulnerabilità per arrivare a root.

      Per esser chiari gli unici a rischio sono gli incompetenti che si son spacciati per sistemisti.

    • p91paul

      Per attaccarti dall’esterno ci sono un paio di modi documentati. Per usare ssh bisogna comunque conoscere la tua password, il bug si può usare solo per aggirare sistemi di autenticazione a due fattori o cose simili. L’altro modo è avere apache attivo con i moduli per l’esecuzione di cgi. Se non stai facendo girare un webserver, o non sai di cosa parlo (o direi per il solo fatto che chiedi, quindi non stai gestendo un sistema configurato in modo molto particolare), non hai nessun problema. Il bug non può ottenere i permessi di root o niente di particolarmente pericoloso, e in condizioni normali non può eseguire codice da remoto.

No more articles