Почему мой пакет bash 4.1.2 не уязвим к шеллшоку? Мой тест неверен?

Question

Моя версия оболочки Bash - GNU bash, версия 4.1.2(2)-релиз (x86_64-redhat-linux-gnu).

Я проверил ошибку "шеллшок" с помощью команды ниже

x='() { :;}; echo VULNERABLE' bash -c :.

Не было распечатано Уязвимое сообщение назад.

Я читал, что ошибка существует до версии 4.3 bash ( https://www.youtube.com/watch?v=u1H12rMdLTg)

Что может быть причиной.

Answer 1

Обновленные пакеты с патчами, перенесенными в локально поддерживаемую версию bash, были выпущены для основных дистрибутивов в течение нескольких дней после обнаружения шеллшока. (Действительно, они были выпущены довольно быстро, и временные исправления часто использовали другой формат переменной среды для экспортируемых функций, чем то, что делают финальные выпуски, что означает, что функция, экспортируемая в одной версии оболочки, часто не распознается другой работает как подпроцесс).

Тот факт, что у апстрима не было окончательного слияния патча, не означает, что ваша операционная система или дистрибутив не выдвинули бэкпорт - на самом деле, это было бы дикой безответственностью для них.