Čo je zraniteľnosť Shellshock?

Shellshock je súhrnný názov pre sériu bezpečnostných problémov Linuxu v bash shell. Bash je predvolený terminál v mnohých distribúciách Linuxu, čo znamená, že účinky chýb boli obzvlášť rozšírené.

Poznámka: Táto chyba zabezpečenia neovplyvnila systémy Windows, pretože systém Windows nepoužíva prostredie Bash.

V septembri 2014 Stéphane Chazelas, bezpečnostný výskumník, objavil prvý problém v Bash a súkromne to oznámil osobe, ktorá Bash udržiava. Spolupracoval s vývojárom zodpovedným za údržbu Bash a bola vyvinutá oprava, ktorá problém vyriešila. Keď bola oprava uvoľnená a dostupná na stiahnutie, povaha chyby bola zverejnená koncom septembra.

Počas niekoľkých hodín od ohlásenia chyby bola táto chyba využívaná vo voľnej prírode a do jedného dňa už existovali botnety založené na exploite, ktorý sa používal na vykonávanie útokov DDOS a skenovanie zraniteľností. Aj keď oprava už bola dostupná, ľudia ju nedokázali nasadiť dostatočne rýchlo, aby sa vyhli návalu využívania.

Počas niekoľkých nasledujúcich dní bolo identifikovaných päť ďalších súvisiacich zraniteľností. Opravy boli opäť rýchlo vyvinuté a uvoľnené, ale napriek aktívnemu využívaniu neboli aktualizácie nevyhnutne aplikované okamžite alebo dokonca okamžite dostupné vo všetkých prípadoch, čo viedlo k viac kompromitovaným počítačom.

Zraniteľnosť pochádzala z rôznych vektorov, vrátane systémových volaní webového servera založeného na CGI, ktoré boli nesprávne spracované. OpenSSH server povolil zvýšenie oprávnenia z obmedzeného shellu na neobmedzený shell. Škodlivé servery DHCP dokázali spustiť kód na zraniteľných klientoch DHCP. Pri spracovaní správ umožnil Qmail zneužitie. Obmedzený shell IBM HMC by sa dal zneužiť na získanie prístupu k úplnému bash shellu.

Kvôli rozšírenej povahe chyby, ako aj závažnosti zraniteľností a návalu zneužívania sa Shellshock často prirovnáva k „Heartbleed“. Heartbleed bola zraniteľnosť v OpenSSL, ktorá unikla obsahu pamäte bez akejkoľvek interakcie používateľa.