web-dev-qa-db-ja.com

Debian LennyとSqueezeのCVE-2015-0235（GHOST）にパッチを適用する方法は？

Debian LennyとSqueezeでGHOSTにパッチを適用する正しい方法はありますか？

このリンクによると、Lennyにパッチを適用する計画はありません https://security-tracker.debian.org/tracker/CVE-2015-0235

ありがとう！

debiandebian-squeezedebian-lennyvulnerabilities
5
user200799

/etc/apt/sources.listにソースリポジトリを設定する必要があることに注意してください。

deb http://archive.debian.org/debian/ lenny main contrib non-free
deb-src http://archive.debian.org/debian/ lenny main contrib non-free
0
jlecour

開発スクリプトをインストールする

Lennyのパッチを http://Pastebin.com/Hhsut197 （ official glibc patch に基づいて）から取得、ChangeLogを削除、NEWSのもの、lennyのMakefileを修正、パッチを削除getXXbyYY_r.cの＃2）

実行：apt-get update && apt-get source libc6; apt-get build-dep libc6

パッチをglibc-2.7/debian/patches/allにコピーします

glibc-2.7/debian/patches/seriesにパッチ名を追加します

Rebuildを実行（またはdevscriptsパッケージをインストールしてdebuildを実行）すると、完了です

Etchの場合も同様です。 etchに適応したパッチはこちら：Pastebin.com/UXGnJd6A

Sources.listにsqueeze-ltsリポジトリがある場合のみ、Squeezeにパッチが適用されます（libc6-2.11.3-4+deb6u4）。

deb http://ftp.uk.debian.org/debian squeeze-lts main
7
Michael

Squeeze LTSのeglibcパッチを使用して、パッチが当てられたLennyパッケージをビルドすることもできます http://sources.debian.net/data/main/e/eglibc/2.11.3-4+deb6u4/debian/patches/ any/cvs-gethostbyname.diff

それをglibc-2.7/debian/patches/anyに置き、glibc-2.7/debian/patches/seriesファイルの最後に追加します。次に、パッケージをビルドし、システムをパッケージでアップグレードして、GHOSTツールでシステムをテストします。 https://webshare.uchicago.edu/orgs/ITServices/itsec/Downloads/GHOST.c

ジェレミー

3
AutoStatic

Debian Squeeze LTSのCVE-2015-0235パッチを含む、Debian Lennyのglibc-2.7ソースを再コンパイルしました。

これらのパッケージをコンパイルするにはかなり時間がかかるため、コピーは https://flo.sh/debian-lenny-cve-2015-0235-glibc-patch/ から取得できます。

脆弱性チェックは正常に見えます：[00:15:26] root @ [...]：/ usr/src/ghost> ./ghost脆弱性なし

この問題についてのこの簡潔な要約を追加してくれてありがとう-Flo

1
Flo

私は、誰かがlinux.itの人と同じようにlenny glibc .debをパッケージ化してシェルショックを行うかどうかを確認するのを待っていました。

最後に、私はそれを自分で行い、Pastebin.comからの元のパッチを適用し、前述のwidth -lオプションをパッチに適用しました。

古いdebian sargeもまだ実行中であり、同じパッチをglibc-2.3.2にほとんど変更せずに適用できます。

http://www.saitis.net/~ndesir/cve-2015-0235-old-debian/sarge/cve-2015-0235.dpatch

そして、debuildを実行する前にdebian/patches/00listに追加してください

今まではうまく機能しているようです。

あなたが私を十分に信頼しているなら、 http://www.saitis.net/~ndesir/cve-2015-0235-old-debian/ には、lennyとsarge（intel）の.debも含まれています。

0
Nicolas