Shellshock: Falha de Segurança Grave no Bash Afeta Máquinas com Linux e OS X
Uma falha de segurança grave no Bash, interpretador de comandos bastante usado em sistemas operacionais baseados em Unix, foi divulgada nesta quarta-feira (24). De acordo com os especialistas em segurança, esta vulnerabilidade é tão perigosa quanto aquela do Heartbleed, que afetou milhões de sites na internet e provavelmente foi usada pela NSA para espionar usuários.
O Bash é o shell padrão em muitos sistemas operacionais baseados em Unix, o que inclui distribuições Linux e o OS X. Red Hat, CentOS, Ubuntu e Debian já ganharam correções de segurança, mas, no momento em que escrevo este parágrafo, o OS X 10.9.5, última versão disponível, está vulnerável. Para descobrir se uma máquina é afetada, basta rodar o seguinte comando no terminal:
env x='() { :;}; echo vulnerável' bash -c "echo teste"
Se a palavra “vulnerável” aparecer, isso significa que a máquina está… vulnerável. Caso contrário, o Bash retornará uma mensagem de erro.
Quando explorada, a falha permite que um código malicioso seja executado assim que o shell é aberto, o que deixa a máquina exposta a uma série de ataques. E inúmeros softwares interagem com o shell de diferentes maneiras — ele é frequentemente usado pelo Apache para gerar páginas dinâmicas, por exemplo, e a brecha também pode ser explorada por meio do OpenSSH, como informa o Ars Technica.
Pesquisadores dizem que a falha deve continuar “por anos”. As principais distribuições Linux já corrigiram o problema, e a Apple deve soltar uma atualização de segurança para o OS X, mas há inúmeros outros dispositivos que usam sistemas operacionais baseados em Unix e o Bash — como eletrônicos portáteis, câmeras conectadas à internet e muitas, muitas outras coisas (talvez até o seu roteador). Não é como se somente os administradores de sistemas tivessem que se preocupar com isso.
As pessoas aprenderam que o nome “Heartbleed” foi fundamental para chamar a atenção de pessoas “comuns” sobre a falha no OpenSSL no início do ano — ela chegou a ser noticiada nos telejornais (e você sabe como a cobertura de tecnologia neles é bem restrita). A brecha no Bash é tão ruim quanto a do Heartbleed, e estão chamando-a de “Shellshock”. Espere ler mais sobre o assunto nos próximos dias.
From: Tecnoblog
- Metasploit Framework de cabo a rabo – Parte 6 - 4 de junho de 2018
- Metasploit Framework de cabo a rabo – Parte 5 - 28 de maio de 2018
- CEH – Scanning Networks – Parte 2 - 24 de maio de 2018
