Bash ShellShock: новой дыре в Linux присвоен наивысший класс опасности

В Linux обнаружена уязвимость, которой присвоен высший балл опасности — 10 из 10 (по шкале NIST). Ошибка содержится в командном интерпретаторе Bash и позволяет удаленно выполнять произвольные команды.

Чтобы быстро понять суть проблемы, достаточно взглянуть на следующий код:


env x='() { :;}; echo vulnerable' bash -c "echo this is a test"


Круглые скобки указывают, что определяется функция, которая затем будет вызвана. Ее содержимое должно располагаться между фигурными скобками. Ошибка заключается в том, что закрывающая фигурная скобка '}' игнорируется и при вызове функции выполняется код и за скобками.

Критический уровень опасности для всей системы возникает из-за того, что Bash часто комбинируют с другими программами, в том числе и сетевыми. Злоумышленник дистанционно может передать специально сформированную строку, которая приведет к выполнению вредоносного кода на уделенном компьютере. Например, уязвимости подвержены такие широко используемые программы, как:

• Apache;
• SSH;
• CPanel;
• Git и Subversion;
• DHCP-клиенты;
• CUPS;
• и масса других.

Вот пример атаки на OpenSSH через модификацию переменной окружения SSH_ORIGINAL_COMMAND:

ssh -o 'rsaauthentication yes' 0 '() { ignored; }; /usr/bin/id'

Будет будет запущена программа /ust/bin/id (злоумышленник, разумеется, запустит что-нибудь менее приятное).

Оперативно для некоторых дистрибутивов была выпущена заплатка, однако на следующий день оказалось, что злоумышленники «нашли дыру» в самой заплате и проблема все еще актуальна. Проверить свою систему можно следующим образом:

env X='() { (a)=>\' sh -c "echo date"; cat echo


Вторая заплатка уже готова и скоро будет распространена через службы обновлений.