Video: Apple M1 Mac Review: Time to Recalibrate! (Octombrie 2024)
Un expert descoperit în Bash, un interpret de comandă utilizat pe scară largă, prezintă un risc critic pentru securitate pentru sistemele Unix și Linux. Și ca nu cumva sunteți tentat să respingeți problema ca fiind doar o problemă de server, nu uitați că Mac OS X folosește Bash. Mulți experți avertizează că poate fi mai rău decât Heartbleed.
Vulnerabilitatea este prezentă în majoritatea versiunilor Bash, de la versiunea 1.13 la 4.3, în conformitate cu Stephane Chazelas, rețea Unix și Linux și administrator de telecomunicații la Akamai, care a dezvăluit pentru prima dată eroarea. Echipa computerului de intervenție în caz de urgență (CERT) din Departamentul Securității Interne a avertizat într-o alertă că, dacă este exploatat, vulnerabilitatea ar putea permite unui hacker de la distanță să execute cod rău intenționat pe un sistem afectat. Baza de date a vulnerabilității NIST a evaluat 10 din 10 erori din punct de vedere al gravității.
„Această vulnerabilitate este potențial o afacere foarte mare”, a spus Tod Beardsley, manager de inginerie la Rapid7.
Vulnerabilitatea are legătură cu modul în care Bash gestionează variabilele de mediu. Când se atribuie o funcție unei variabile, orice cod suplimentar din definiție va fi, de asemenea, executat. Așadar, tot ce trebuie să facă este să atașeze o mulțime de comenzi în această definiție - un atac clasic de injectare de cod - și vor putea deturna mașina afectată de la distanță. Chazelas și alți cercetători care au analizat defectul au confirmat că este ușor de exploatat dacă se injectează codul în variabile de mediu, cum ar fi funcția ForceCommand din OpenSSH sshd, modulele mod_cgi și mod_cgid din serverul HTTP Apache sau scripturile care setează mediu pentru clienții DHCP.
"Un număr mare de programe pe Linux și alte sisteme UNIX folosesc Bash pentru a configura variabile de mediu care sunt apoi utilizate în timpul executării altor programe", a scris Jim Reavis, director executiv al Cloud Security Alliance, într-o postare pe blog.
Comparație inima inevitabilă
Luați în considerare două lucruri despre această vulnerabilitate: serverele Linux / Unix sunt utilizate pe scară largă în centrele de date din întreaga lume, precum și pe cele încorporate în multe dispozitive; vulnerabilitatea este prezentă de ani buni. Deoarece Bash este atât de răspândit, comparația cu Heartbleed, vulnerabilitatea OpenSSH descoperită în aprilie este inevitabilă. Robert Graham de la Errata Security a poreclit deja defectul ShellShock.
Dar este Heartbleed 2? Este cam greu de spus. Cu siguranță este o problemă serioasă, pentru că le oferă atacatorilor acces la shell-ul de comandă, care este biletul de aur pentru a putea face orice își doresc pe mașina respectivă.
Să ne gândim în ceea ce privește dimensiunea. Serverele web Apache alimentează marea majoritate a site-urilor din lume. După cum am aflat în timpul Heartbleed, există o mulțime de mașini non-Linux / Unix care folosesc OpenSSH și Telnet. Și DHCP este esențial pentru a ne ușura să pornim și să nu punem rețele. Aceasta înseamnă că, pe lângă computere și servere, este posibil ca și alte sisteme încorporate, cum ar fi routerele, să fie vulnerabile la deturnare. Graham de la Errata Security - care a făcut unele dintre cele mai aprofundate analize ale erorilor până acum - a efectuat câteva scanări și a găsit cu ușurință câteva mii de servere vulnerabile, dar este puțin greu în acest moment să estimăm amploarea problemei.
Cu toate acestea, defectul Heartbleed a fost prezent doar prin instalarea unei versiuni vulnerabile a OpenSSL. Această eroare nu este la fel de simplă.
„Nu este la fel de„ simplu ”ca„ să alergi Bash ”, a spus Beardsley. Pentru ca mașina să fie vulnerabilă la atacuri, trebuie să existe o aplicație (cum ar fi Apache) care să introducă intrările utilizatorului (cum ar fi un antet User-Agent) și să o introducă într-o variabilă de mediu (ceea ce fac scripturile CGI), a spus el. Cadrele Web moderne nu vor fi în general afectate, a spus el.
Acesta este motivul pentru care Graham a spus că în timp ce ShellShock este la fel de severă ca Heartbleed, "nu este nevoie să vă grăbiți și să remediați acest bug. Probabil că serverele dvs. principale nu sunt vulnerabile la acest bug".
Dar înainte de a ne informa despre routere și dispozitive încorporate (și Internet of Things), rețineți că nu toate sistemele folosesc Bash. Ubuntu și alte sisteme derivate de Debian pot utiliza un interpret de comandă diferit numit Dash. Dispozitivele încorporate folosesc frecvent unul numit BusyBox, care nu este vulnerabil, a declarat pe Twitter Roel Schouwenberg, un cercetător principal la Kaspersky Lab.
Vulnerabil sau nu?
Puteți verifica dacă sunteți vulnerabil rulând următoarele comenzi (cod furnizat de CSA). Deschideți o fereastră de terminal și introduceți următoarea comandă la promptul $:
env x = '() {:;}; ecou vulnerabil "bash -c" ecou acesta este un test"
Dacă sunteți vulnerabil, va imprima:
vulnerabil
acesta este un test
Dacă ați actualizat Bash, veți vedea doar:
acesta este un test
În mod normal, aș spune să mergi înainte și să faci patch-uri imediat, dar se pare că patch-urile disponibile nu sunt complete. Există încă modalități de a injecta comenzi prin variabile de mediu, chiar și după ce a aplicat Bash, a spus Red Hat în această dimineață. Dacă aveți doar o mână de mașini, poate merită să mergeți înainte și să aplicați patch-urile disponibile, dar dacă aveți mii de mașini de plasat, poate merită să așteptați încă câteva ore. Toate distribuțiile Linux din amonte (și sperăm Apple!) Funcționează în acest moment.
„Amintiți-vă, chiar dacă nu ați mai auzit de Bash până acum sau nu îl rulați, este posibil să aveți software care rulează pe computer, care creează procesele Bash”, a spus Graham Cluley, consultant independent de securitate.
