SI-CERT 2014-05 / GNU bash ranljivost omogoča izvajanje ukazov na daljavo

CVE oznaki: CVE-2014-6271, CVE-2014-7169

GNU Bash je priljubljena ukazna lupina (shell), ki se uporablja na Linux sistemih. Verzije do vključno 4.3 vsebujejo napako pri obravnavi funkcij v okoljskih spremenljivkah (environment variables). Ukazi, podani za koncem definicije funkcije se izvedejo. Najbolj očiten vektor napada je preko CGI skript na spletnem strežniku s HTTP parametri, podanimi ob klicu skripte, ranljivi pa so tudi drugi strežniki, ki uporabljajo bash za evaluacijo parametrov, kot sta recimo SSH in DHCP strežnika.

Na SI-CERT smo prejeli obvestilo o tem, da se ranljivost že aktivno izkorišča na internetu.

Ranljivi sistemi

Vsi sistemi, ki uporabljajo GNU bash lupino (Linux, FreeBSD, OpenBSD, Mac OS X in drugi, ki temeljuji na Linux ali Unix) do vključno verzije 4.3.

Rešitev

Svetujemo takojšnjo namestitev nadgradnje za GNU bash lupino, ki je na voljo že za večino Linux distribucij. Če lupine ne morete zaradi kakšnega razloga nadgraditi, svetujemo zelo restriktivno omejitev omrežnega dostopa do sistema do časa po nadgradnji.

Povezave

• CVE-2014-6271
• CVE-2014-7169
• Red Hat Security Blog: Bash specially-crafted environment variables code injection attack
• TrustedSec: Shellshock DHCP RCE Proof of Concept