Remendo Shellshock Bash bug é buggy: bods Infosec avisar milhões de sistemas ainda em risco

Segurança para data centers virtualizados

Um patch de segurança para a vulnerabilidade Shellshock grave em Bash é incompleta - como os hackers exploram o buraco para comprometer computadores.

A falha afeta o GNU Bourne Again Shell - mais conhecido como Bash - o que é um interpretador de comandos usado por muitos sistemas operacionais Linux e Unix - incluindo o Apple OS X.

Ele permite que os meliantes para executar remotamente código arbitrário em sistemas que variam de servidores web, roteadores, servidores e Macs para vários dispositivos integrados que usam Bash, e qualquer outra coisa que usa o shell falho.

Um atacante precisa injetar sua carga de código para as variáveis ​​de ambiente de um processo de execução - e isso é surpreendentemente fácil de fazer, através de scripts CGI Apache, DHCP, OpenSSH e assim por diante. Quando esse processo ou de seus filhos invocar Bash, o código é pego e executado.

A falha Bash - designado CVE-2014-6271 - está sendo explorada na selva contra servidores web, o alvo mais óbvio, mas não por qualquer meio os únicos sistemas em risco.

Patches liberados na quarta-feira por fornecedores de Linux , o mantenedor do Bash, e outros para o OS X, bloqueou esses primeiros ataques, mas é entendido que eles não protegem completamente Bash de injeção de código através de variáveis ​​de ambiente.

Novos pacotes de Bash foram lançados no mesmo dia, mas uma investigação mais aprofundada deixou claro que a versão corrigida ainda é explorável, e, no mínimo, pode ser deixado de funcionar devido a uma exceção de ponteiro nulo. A correção incompleta está sendo monitorado como CVE-2014-7169 .

Red Hat, no momento da escrita, está exortando as pessoas a atualizar para a versão do Bash que corrige a falha de segurança relatada pela primeira vez, e não esperar que o patch que corrige a vulnerabilidade persistente secundário - CVE-2014-7169 designado.

"CVE-2014-7169 é uma questão menos grave e patches para ele estão sendo trabalhadas", o fabricante de Linux disse .

Enquanto isso, embora o Ubuntu e outras distros baseadas em Debian mudaram-se para usar o Dash não vulnerável sobre Bash, este pode muito bem ser presente ou em uso por contas de usuário. Acima de tudo, verifique o que desembolsar intérpretes são instalados, que é usá-los, e remendo CVE-2014-6271 imediatamente.

O patch do bash parece incompleta para mim, a função de análise ainda é frágil. por exemplo $ env X = '() {(a) => \' sh-c "echo date"; echo cat

- Tavis Ormandy (taviso) 24 de setembro de 2014

O código acima pode ser usado para soltar arquivos para sistemas remendados e executá-los, como explicado aqui . Completamente sem correção servidores e computadores podem ser exploradas para abrir shells de comando reversa - um backdoor, basicamente - ou reiniciar-los (ou pior), se conectar a um servidor DHCP malicioso.

A principal CVE-2014-6271 falha foi descoberta por Stephane Chazelas da Akamai antes de ter sido responsável divulgados. Um módulo Metasploit aproveitando o bug já está disponível. Um post no blog de ​​desenvolvedores do Metasploit Rapid7 explica o estado sombrio de jogo .