Bash脆弱性の検証（QNAP）

以下のBash脆弱性のクイックフィックスが出たようなので当ててみました。
　Qfix_Bash_update_1.0.1_20141001_x86_ARM.zip

以下を参考に脆弱性が解消されているかどうかチェック
bashの脆弱性(CVE-2014-6271) #ShellShock の関連リンクをまとめてみた
http://d.hatena.ne.jp/Kango/20140925/1411612246

結果は以下の通り。

CVE-2014-6271　問題なし。

[~] # env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
this is a test
[~] #

CVE-2014-7169　ひでぶ大丈夫かな？

[~] # env x='() { (a)=>\' bash -c "echo echo vulnerable"; cat echo
echo vulnerable
cat: echo: No such file or directory

bash の脆弱性 "Shell Shock" のめっちゃ細かい話 その2 (CVE-2014-7169)
http://moro-archive.hatenablog.com/entry/2014/10/03/050606

あれ？ここを見るとチェックコードが違うぞ？
さっそくチェック

[~] # env X='() { (a)=>\' sh -c "out echo not patched"
sh: out: command not found
[~] # ls /out
ls: /out: No such file or directory
[~] #

大丈夫なのかな？

CVE-2014-7186　問題なし。（だと思う）

[~] # bash -c 'true <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF' || echo "vulnerable" </td>
-sh: syntax error near unexpected token `newline'

ん？もしかしてこうかな？

[~] # bash -c 'true <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF' || echo "vulnerable"
[~] #

CVE-2014-7187　問題なし

[~] # (for x in {1..200} ; do echo "for x$x in ; do :"; done; for x in {1..200} ; do echo done ; done) | bash || echo "vulnerable"
[~] #

CVE-2014-6277　未検証

　問題なし
CVE-2014-6278

[~] # env x='() { _;}>_[$[$())] { echo vulnerable; }' bash -c "echo test"
test
[~] #

脆弱性が治ったという確証が持てないので
もう少し様子を見てみようかな。