Статьи

Уразливість в Bash може бути небезпечніше гучної Heartbleed

  1. Що таке Bash?
  2. Чим небезпечна ця вразливість?
  3. Як себе захистити?

Тільки встигли вщухнути пристрасті з приводу уразливості Heartbleed , Як на головних сторінках десятків профільних сайтів з'явилися повідомлення про новий серйозний баг, який вже встиг отримати аж два пам'ятних імені - Shellshock і Bashdoor - і має всі шанси стати загрозою навіть більш серйозною, ніж помилка в протоколі OpenSSL. Адже, як і в випадку з Heartbleed, проблема існувала задовго до її виявлення, і не виключено, що використовувалася зловмисниками протягом багатьох попередніх років. Тільки встигли вщухнути пристрасті з приводу   уразливості Heartbleed   , Як на головних сторінках десятків профільних сайтів з'явилися повідомлення про новий серйозний баг, який вже встиг отримати аж два пам'ятних імені - Shellshock і Bashdoor - і має всі шанси стати загрозою навіть більш серйозною, ніж помилка в протоколі OpenSSL

Що таке Bash?

Bash - це популярна оболонка, командний процесор, що працює в тому числі зі скриптами і дозволяє користувачеві взаємодіяти з системою за допомогою спеціальних команд. Незважаючи на свій похилий вік (перша версія оболонки з'явилася ще в кінці 80-х років), Bash присутній в переважній більшості сучасних * nix-систем, в тому числі в різновидах Linux і, звичайно ж, Apple OS X. Крім того, Bash можна виявити на дуже і дуже багатьох веб-серверах, а також на домашніх мережевих пристроях начебто роутерів, модемів і іншої подібної техніки. Таким чином, потенційної уразливості в тій чи іншій мірі схильні до практично всі користувачі Інтернету.

Власне сама уразливість була виявлена ​​системним адміністратором з компанії Akamai Стефаном Чазеласом (Stephane Chazelas), і нам залишається тільки сподіватися на те, що він був першим, хто про неї дізнався. Така ймовірність, втім, не надто велика, так як, судячи з усього, баг проіснував в програмному коді оболонки більше 20 років і міг досі абсолютно непомітно експлуатуватися зловмисниками.

Чим небезпечна ця вразливість?

При певних умовах виявлена ​​уразливість дозволяє запускати на атакується пристрої довільний код, попередньо «простягнув» його до будь-якого невинному скрипту. З огляду на те, що виконання коду відбудеться непомітно, теоретично зловмисник може отримати повний контроль над системою.

Експлуатувати уразливість в Bash зловмисникам буде простіше, ніж Heartbleed.

У цьому сенсі Shellshock може бути навіть небезпечніше історії з Heartbleed . Помилка, виявлена ​​в протоколі шифрування OpenSSL, могла привести до крадіжки даних з пам'яті, в даному ж випадку мова йде про більш серйозної небезпеки. Ось що сказали з цього приводу наші колеги з GReAT, команди дослідників і експертів «Лабораторії Касперського»:

«Експлуатувати дану уразливість зловмисникам буде простіше, ніж Heartbleed. Крім того, якщо в минулий раз небезпека полягала тільки в можливості крадіжки масивів даних, в яких ще потрібно було знайти щось цікаве, то у випадку з уразливістю в Bash є ймовірність перехоплення управління всією системою цілком, що представляє куди більш серйозну небезпеку ».

Дослідники «Лабораторії Касперського» також не виключили виникнення ситуації, в якій баг може привести до компрометації цінної банківської інформації та, як наслідок, до крадіжки самих грошей. Правда, для виконання подібного сценарію зловмисникові доведеться знайти спосіб доступу до самої оболонці Bash, що може виявитися не так просто. Насправді в гонитві за чужими грошима хакери швидше будуть атакувати не комп'ютер конкретних користувачів, а банківські сервери, що зберігають інформацію про безліч клієнтів банку.

На даний момент найбільш ємко критичність бага описали фахівці з американської Комп'ютерної групи реагування на надзвичайні ситуації (CERT): «Ця вразливість дозволяє зловмисникам передавати спеціально створені змінні оточення, що містять довільні команди, які можуть виконуватися на вразливих системах. Це особливо небезпечно у зв'язку з тим, що оболонка Bash дуже поширена і може бути викликана додатками різними способами ». Крім того, в CERT назвали ступінь проникнення уразливості високої (10 балів), а складність низькою.

Останнє означає, що для експлуатації бага не потрібно складних умінь і великого досвіду. На відміну, до речі, від горезвісної Heartbleed, для застосування якої були потрібні дуже специфічні навички.

Як себе захистити?

Єдине, що ви можете зробити для захисту себе і своїх пристроїв крім повної відмови від користування Інтернетом, - це регулярно оновлювати все наявне у вас програмне забезпечення всіх «залізяк», бажано відразу після того, як виробник випускає відповідні патчі.

Однак є нюанси. Якщо у випадку з операційними системами апдейт вирішує проблеми на всіх комп'ютерах відразу, незалежно від їх конфігурації, то з оновленням роутерів, модемів та інших мережевих пристроїв ситуація інша. Очевидно, універсального патча, який поправив би помилку в усіх девайсах відразу, існувати не може, так що доведеться смиренно чекати, поки кожен виробник випустить для своїх пристроїв відповідні заплатки, після чого встановлювати їх вручну.

На жаль, як нам сказали колеги з GReAT, оболонка Bash настільки широко поширена і настільки різноманітна в застосуванні, що патчі вирішать проблему лише на час, так що процес латання виявленої діри - це довгий шлях, заснований на пробах і помилках, проходити який, можливо , доведеться дуже довго. До речі, як стало відомо, перший експлойт вже виявлено , А вийшли патчі не вирішують проблему цілком.

Ще одна проблема полягає в тому, що * nix-систем, на яких встановлена ​​Bash, безліч, і серед пристроїв, які працюють під їх управлінням, багато тих, які в принципі не можуть бути поновлені. Крім того, напевно знайдеться чимало систем, про присутність Bash на яких ніхто навіть не підозрює.

Як написав у своєму блозі експерт з безпеки компанії Errarta Security Роберт Грем (Robert Graham), уразливих систем, які так і не будуть пропатчити, виявиться набагато більше, ніж у випадку з Heartbleed. Що це означає в цифрах? Нічого хорошого: навіть місяці після виходу оновлень, що закривають діру в OpenSSL, по всьому світу продовжують працювати сотні тисяч Heartbleed-вразливих пристроїв.

Що таке Bash?
Чим небезпечна ця вразливість?
Як себе захистити?
Що таке Bash?
Чим небезпечна ця вразливість?
Як себе захистити?
Що це означає в цифрах?

Новости