El pasado miércoles 24 de Septiembre se hizo pública una vulnerabilidad del software libre de shell 'bash', que ha pasado a ser conocida con el nombre de "shellshock" y que permite de forma muy simple la ejecución de código arbitrario insertado de una forma especial en variables de ambiente.
La vulnerabilidad pasa a ser efectiva
cuando bash es el shell , en principio usado con una funcionalidad
restringida, asociado a un servicio de red al que el atacante pueda
pasarle variables de ambiente, siendo el caso más evidente el de servicios web CGI en servidores Linux cuyos scripts CSI estén en bash (lo más habitual). Principalmente son estos servicios los que están siendo atacados hasta el punto de que Internet Storm Center ha activado el nivel amarillo de estado de seguridad Internet.Son vulnerables virtualmente todos las instancias de bash que no se hayan actualizado ahora. Se puede saber si el bash de un sistema propio Linux/Mac OS X/Unix/... es vulnerable, viendo si devuelve
vulnerable la siguiente ejecución en su linea de comandos:env x='() { :;}; echo vulnerable' bash -c "echo test"Basta con sustituir "
echo vulnerable" por el comando deseado (listados,
shells reversos, descarga de SW al servidor atacado, etc) y, por
ejemplo, introducir el valor de la variable 'x' del ejemplo en el USER
AGENT de un cliente web para poder ejecutar ese comando deseado en los
servicios web CGI con bash vulnerables, con lo que la información de
multitud de sitios web con este tipo de tecnología (ya antigua y no la
más habitual, pero aún así existente en muchos sitos web) está en grave
riesgo.
Otro ejemplo serían los accesos SSH de
usuarios restringidos (es decir no pensados para dar un login con
shell completo), restricciones que puede resultar muy sencillo evitar
gracias aesta vulnerabilidad
Entradas
No hay comentarios:
Publicar un comentario