:: Shellshock :: Πολύ σοβαρό bash security flaw!

[loic]

[THE REGISTER]
Patch Bash NOW: 'Shell Shock' bug blasts OS X, Linux systems wide open

 

[bBC]
Shellshock: 'Deadly serious' new vulnerability found

 

[REDHAT]
Bash Code Injection Vulnerability via Specially Crafted Environment Variables (CVE-2014-6271, CVE-2014-7169)

 

[TROYHUNT]
troyhunt.com - Everything you need to know about the Shellshock Bash bug

 

-----------------------------------

 

Τέστ για να δείτε αν ειστε εκτεθιμένοι...

 

 

env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

 

Aν δειτε τη λεξη vulnerable, ειστε εκτεθιμένοι.

 

 

env X="() { :;} ; echo busted" `which bash` -c "echo completed"

Αν δειτε τη λεξη busted, ειστε εκτεθιμένοι.

 

 

 

Ολοι οσοι χρησιμοποιουμε bash ειμαστε εκτεθιμενοι, αλλα ειδικα οσοι εχετε servers/μηχανηματα στα οποια δινετε προσβαση και εχετε σαν προεπιλογη κελυφους το bash, πατσάρετε ASAP!

[Eru Iluvatar]

Τι ακριβώς πρέπει να κάνει κάποιος; Τι εννοείς με το "πατσάρει".

 

Δεν το τέσταρα ακόμα, πάω να δω. Λέει αυτό το πρόβλημα είναι πάνω από 20 χρόνια ...

[coffeex]

Τι ακριβώς πρέπει να κάνει κάποιος; Τι εννοείς με το "πατσάρει".

Να αναβαθμίσεις την διανομή Linux που έχεις.

[chek2fire]

Πάντως όλες οι διανομές ήδη πέρασαν τα update. 

[coffeex]

Υπόψιν σήμερα βγήκε και δεύτερο update για το bash.

[johnyboy]

στο arch είναι κομπλέ

[Oxygene]

Το πέρασα κι αυτό πριν λίγο

[chek2fire]

και στα ubuντοειδή είναι διαθέσιμο και το δεύτερο update. 

Τώρα το σκέφτηκα. Με τα router τι γίνετε? Δεν έχουν όλα bash shell?

[loic]

chek2fire, on 26 Sept 2014 - 2:27 PM, said:

Τώρα το σκέφτηκα. Με τα router τι γίνετε? Δεν έχουν όλα bash shell?

Nope.

Οποια routers τρεχουν linux, κατα 99,9% τρεχουν BusyBox, το οποιο ερχεται με build-in shell το ash ή το msh (σπανιότερα το δευτερο).

 

Το bash δεν θα βολευε ετσι κι'αλλιως, λογω περιορισμενης (συνήθως) flash μνημης.

 

[mad-proffessor]

@loic

Δε παίζει ρόλο κ αυτα εκτεθειμένα είναι(αν τρέχεις sshd/dropbear ή web server που ακουει στο wan iface).Aν βάλεις όπου bash ash και τρέξεις το oneliner θα το δεις.

[Praetorian]

Περί modem/routers, αν έχεις κλειστή την remote πρόσβαση στο web interface (εκτός LAN) δεν είσαι θεωρητικά περισσότερο ασφαλής;

Τelnet και ssh servers έχουν επίσης το πρόβλημα pre-authentication;

[mad-proffessor]

Περί modem/routers, αν έχεις κλειστή την remote πρόσβαση στο web interface (εκτός LAN) δεν είσαι θεωρητικά περισσότερο ασφαλής;

Τelnet και ssh servers έχουν επίσης το πρόβλημα pre-authentication;

Θεωρητικά είσαι κομπλέ αν δεν έχεις κάποια υπηρεσία να ακούει στο wan interface(dhcp,sshd,web server).

Ο ssh server σίγουρα είναι περισσότερο ασφαλής αφου τα στέλνει όλα encrypted, ο telnet τα στέλνει plain text τα auth passwords, όμως και στα δύο αμφιβάλλω αν μπορούν τρέξουν εντολή pre-auth , θέλουν authentication(και authorization ο sshd) για να σου δώσουν shell.

*Εκει που είσαι ευάλωτος είναι αν τρέχεις κανα dhcp/dns server (έστω κ αν ακούν μόνο στο lan)που δε κάνουν authentication και παράλληλα έχεις port forwards ανοικτα μέσω nat.

[loic]

mad-proffessor, on 26 Sept 2014 - 4:41 PM, said:

@loic

Δε παίζει ρόλο κ αυτα εκτεθειμένα είναι(αν τρέχεις sshd/dropbear ή web server που ακουει στο wan iface).Aν βάλεις όπου bash ash και τρέξεις το oneliner θα το δεις.

Εκανα τα τεστ με οπου bash = ash, και δεν παιζουν.

 

Εκτος αυτου, υπαρχει επισημη απαντηση απο OpenWrt developer...

 

 

Busybox ash, which is OpenWrts default shell, is not vulnerable to this exploit. Even if you have bash installed on your OpenWrt device it might be only exploitable from the outside if it is also the /bin/sh on your system.

Script languages like PHP, Perl, Lua that invoke system commands usually use "/bin/sh -c 'command'" internally, so if /bin/sh points to /bin/ash or /bin/busybox, the bash vulnerability does not apply to them.

[mad-proffessor]

@loic

Θετικό που δε παίζει, έτσι κ αλλιώς εξηγω πάνω πως θα ήταν δυνατο κάποιος να  εκμεταλλευτει το bug(το λέει κ αυτος άλλωστε "from the outside").

[coffeex]

Και στο NAS μου NAS4FREE by default έχει το tcsh αλλά έχει εγκατεστημένο και το bash(το οποίο έχει πρόβλημα).

Όσοι έχουν QNAP από ότι έχω διαβάσει υπάρχει πρόβλημα.