【编译升级 Wget】修复缓冲区溢出漏洞

刚收到阿里发送的安全提醒，Wget低版本（低于1.19.2版本）出现缓冲区溢出漏洞，危险等级还是“中危”，看这份上得赶紧修复一下，具体漏洞公告见下方：

漏洞编号:
CVE-2017-13089
CVE-2017-13090
漏洞名称:
GNU Wget缓冲区溢出漏洞
官方评级: 中危
漏洞描述:
CVE-2017-13089
漏洞在src/http.c源码文件中，wget在一些调用http.c:skip_short_body() 函数情况下，块解析器使用>strtol() 读取每个响应分块的长度，但不检查块长度是否是非负数，而在wget调用过程中该数据内容和
长度可以完全被攻击者控制，从而导致最终在fd_read（）函数中触发栈缓冲区溢出。
CVE-2017-13090
漏洞在src/retr.c源码文件中，wget在一些调用retr.c:fd_read_body()函数情况下，块解析器使用>strtol() 读取每个响应分块的长度，但不检查块长度是否是非负数，而在wget调用过程中该数据内容和
长度可以完全被攻击者控制，从而导致最终在fd_read（）函数中触发堆缓冲区溢出。
漏洞影响范围: GNU Wget <1.19.2版本
1.Redhat 不受影响：Redhat 5、6 受影响:Redhat 7
2.Ubuntu： Ubuntu 12、14、16均受到影响，目前已经发布补丁。
3.Debain: 均受到影响。
4.CentOS: CentOS 7受到此漏洞影响。
5.SUSE：SUSE Linux Enterprise Server 11不受此漏洞影响，其他版本均受此漏洞影响
漏洞检测:
开发或运维人员使用“wget -V”命令自查是否使用了受影响版本范围内的Wget。
漏洞修复建议(或缓解措施):
目前漏洞细节和测试代码已经公开，各大操作系统发行厂商均已经发布补丁，为了防止发生安全事件，阿>里云安全提醒您建议升级到最新版本;
阿里云云盾安骑士支持该漏洞检测和修复，建议您开启自动化检测。

具体的看官方公告，链接：https://bbs.aliyun.com/read/568597.html?page=e

解决办法

查看wget版本：wget -V ，如果显示的版本低于1.19.2则再继续修复。
开始修复，编译安装新版本wget

wget http://ftp.gnu.org/gnu/wget/wget-1.19.2.tar.gz
tar -zxf wget-1.19.2.tar.gz
cd wget-1.19.2
./configure --prefix=/usr --sysconfdir=/etc --with-ssl=openssl
make
make install

安装完成后，再wget -V查看更新后的版本

wget02