Shellshock: securitatea serverului tau poate fi grav compromisa
Se pare ca, dupa vestitele vulnerabilitati ale Microsoft Outlook care permiteau executia de comenzi la distanta, anul acesta, 2014, a venit randul sistemelor de tip Unix sa descopere problema dupa problema. Grave.
Astfel, dupa Heartbleed, in data de 24 Septembrie 2014, este descoperita vulnerabilitatea ShellShock (CVE-2014-6271 - http://web.nvd.nist.gov/view/vuln/search-results?query=cve-2014-6271&search_type=all&cves=on ). Vulnerabilitatea permite executia de comenzi in sisteme de tip Unix (Linux, Linux embedded, Apple) si este cauzata de o problema de programare in BASH, unul dintre cele mai raspandite si folosite shell-uri. La fel ca si Heartbleed care era o vulnerabilitate veche de 2 ani, nici aceasta nu este prea tanara, aplicandu-se la aproape orice versiune de BASH mai mica de 4.3 plus ultimele patch-uri.
Astfel, pot fi rulate comenzi fara autentificare, comenzi ce fie creaza posibilitatea de penetrare a sistemelor, modificare a parametrilor de lucru sau citirea de informatii confidentiale, fie, asa cum s-a intamplat pana acum, permite lansarea de atacuri DDoS.
Imediat dupa aplicarea patch-ului, s-a constatat o noua vulnerabilitate (CVE-2014-7169 - http://web.nvd.nist.gov/view/vuln/search-results?query=CVE-2014-7169+&search_type=all&cves=on ) cauzata in parte de anumite erori in primul patch.
Cele doua vulnerabilitati afecteaza practic mai mult de 80% dintre sistemele conectate la Internet. Servere Linux, statii de lucru Apple, dar mai ales NAS-uri, DVR-uri, camere de supraveghere si chiar routere Cisco sau Juniper si alte echipamente despre care stim ca sunt niste cutii negre care nu au ce sa pateasca. Iata ca au.
Spre exemplu, QNAP (unul dintre marii vendori de NAS-uri, prin numarul de echipamente comercializate anual) a anuntat ca recomandare pentru evitarea acestei vulnerabilitati, nici mai mult nici mai putin decat deconectarea serviciilor web based de la interfata conectata la Internet ( http://www.qnap.com/useng/index.php?lang=en-us&sn=885&c=3036&sc=&n=22457 ). Synology a lansat deja un patch, 2 zile dupa descoperirea vulnerabilitatii ( https://www.synology.com/en-global/support/security/bash_shellshock ) dar oare cati administratori vor aplica patch-ul ?
Pe partea distributiilor Linux, RedHat a fost atat de atenta la evolutie, incat acum a adresat direct cea de-a doua vulnerabilitate, motivand ca au stiut ca ceva nu e in ordine ( https://securityblog.redhat.com/2014/09/26/frequently-asked-questions-about-the-shellshock-bash-flaws/ ) cu primul patch. In fine, au lansat patch-urile, dar, din nou, cati administratori vor sta atenti si vor reactiona imediat ?
In general, numarul echipamentelor afectate este foarte mare si adreseaza extrem de multe distributii Linux (RedHat, Ubuntu, Debian, etc) precum si foarte multe appliance-uri (Cisco, Juniper, Synology). Vezi un status complet aici: http://www.kb.cert.org/vuls/id/252743
Camscape, prin tehnicienii sai, a urmarind atent evolutia vulnerabilitatii. Astfel, dupa testarea in prealabil a patch-ului pe serverele de test, a securizat toate serverele aflate in mentenanta in noaptea de 25-26 Septembrie pentru CVE-2014-6271. Pentru CVE-2014-7169, a fost instalat un patch suplimentar in noaptea de 28-29 Septembrie. Nu a fost cauzat downtime.
Spre deosebire de serverele ruland distributiile majore Linux, Camscape nu a lansat un update pe care administratorii sa fie rugati sa il aplice. Noi am fortat toate serverele aflate in mentenanta sa aplice acest update.
Vrei sa stii daca esti vulnerabil? E simplu. Deschide o consola si ruleaza:
env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
Un sistem vulnerabil la CVE-2014-6271 va afisa
vulnerable
this is a test
Un sistem vulnerabil la CVE-2014-7169 va afisa
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test
Iar un sistem care nu este vulnerabil va afisa
this is a test
Exista si site-uri dedicate care pot verifica (cu un grad mare de eroare ce-i drept) daca serverul tau este sau nu vulnerabil:
http://shellshock.brandonpotter.com
http://bashsmash.ccsir.org
http://www.shellshocktest.com
Verifica-ti serverul si aplica update-urile. Vulnerabilitatea este extrem de serioasa.
camscape,28 septembrie 2014
Vrei sa primesti pe email articolele CAMSCAPE ? Inscrie-te
aici si le vei primi automat.
