Bash-Bug gefunden, Schweregrad als "katastrophal" eingestuft

Bash-Wanze

Wie in den letzten Tagen von Reuters, CNN und anderen Quellen berichtet wurde, hat Stéphane Chazelas, ein IT-Manager, der für ein Softwareentwicklungsunternehmen in Schottland arbeitet, einen möglicherweise verheerenden Fehler in der weit verbreiteten Unix-Shell bash entdeckt. Der als "Shell Shock" bezeichnete Fehler wurde von Red Hat als "katastrophal" eingestuft. Das Cybersicherheitsunternehmen Rapid7 stufte ihn mit einem Schweregrad von "10", der höchsten Stufe, und einer Komplexität der Ausnutzung von "niedrig" ein, was bedeutet, dass Angriffe relativ einfach und leicht für Hacker sind.

Die Bash wird von der gemeinnützigen Free Software Foundation entwickelt und ist eine der gebräuchlichsten Shells in Unix-Systemen. Obwohl Open iT-Anwendungen die Shell nur zur Ausführung von Binärdateien und fest kodierten Befehlen verwenden (Open iT verwendet ksh für seine eigenen Skripte) und das System in keiner Weise besonders anfällig für Angriffe von außen machen, können andere Dienste und Anwendungen es Hackern ermöglichen, Umgebungsvariablen einzufügen, die es ihnen erlauben, diese Schwachstelle auszunutzen, um die Kontrolle über Maschinen und Serversysteme zu erlangen.

Red Hat hatte ursprünglich einen Patch (CVE-2014-6271) bereitgestellt, um diese Schwachstelle zu beheben. Der Patch wurde jedoch von einigen Sicherheitsforschern als "unvollständig" eingestuft. Am 26. September stellte Red Hat einen neuen Patch (CVE-2014-7169) bereit, um dieses Problem zu beheben.

Um herauszufinden, ob das System anfällig für Shell Shock ist, empfiehlt Red Hat die Ausführung des folgenden Befehls:

$ env x=’ () { :;}; echo vulnerable’ bash –c “echo this is a test”

Wenn der obige Befehl das Folgende ausgibt:

verwundbar
Dies ist ein Test

dann hat das System eine verwundbare Version der Bash. Andererseits ist das System frei von einem Shell-Schock, wenn die Ausgabe des obigen Befehls wie folgt aussieht:

bash: Warnung: x: Versuch der Funktionsdefinition ignoriert
bash: Fehler beim Importieren der Funktionsdefinition für 'x'
dies ist ein Test

Es ist wichtig, die Bash-Version des Systems zu aktualisieren, wenn eine Sicherheitslücke festgestellt wird. Um ein verwundbares System zu patchen, empfiehlt LinuxNewsPro die folgenden Befehle.

Für CentOS, Fedora, Red Hat und ähnliche Systeme:

$ yum -y update bash

Für Debian, Ubuntu und ähnliche Systeme:

$ sudo apt-get update && sudo apt-get install --only-upgrade bash

Führen Sie den Diagnosetest erneut durch, nachdem Sie das System gepatcht haben, um sicherzustellen, dass es nun vor dem Shell Shock Bug sicher ist.

Quellen:
https://access.redhat.com/articles/1200223
http://www.reuters.com/article/2014/09/24/us-cybersecurity-bash-idUSKCN0HJ2FQ20140924
http://money.cnn.com/2014/09/24/technology/security/bash-bug/index.html

Lassen Sie uns reden

Wir zeigen Ihnen, wie Ihr Unternehmen von Open iT-Lösungen profitieren kann.
Bitte beachten Sie:
Mit dem Absenden dieses Formulars erklären Sie sich damit einverstanden, weitere Mitteilungen von Open iT zu erhalten. Ihre Daten werden in Übereinstimmung mit unseren Datenschutzbestimmungen verarbeitet .