Уязвимости позволяют удаленному пользователю выполнить произвольный код на целевой системе.
Уязвимость существует из-за ошибки обработки входных данных при выполнении синтаксического анализа кода. Удаленный пользователь может выполнить произвольные команды на целевой системе.Как уязвимость может затронуть пользователя?
bash и ОС хранят список переменных окружения, которые описывают текущего пользователя, путь к приложениям на жестком диске и прочие функции. Создав переменную окружения с особой структурой, взломщик сможет выполнить произвольный код на ПК жертвы во время следующего запуска bash.
Создать переменную окружения можно следующим образом:
- Установить удаленное соединение через SSH и попробовать войти в систему. Подобрав специфический логин или имя хоста, можно создать переменную окружения со специфическими данными;
- Вынудить пользователя создать переменную окружения самостоятельно;
- Вынудить определенные программы задать нужное значение переменной окружения. К примеру, пользователь запустил web-сервер и скрипт, устанавливающий собственную переменную окружения. Даже несмотря на то, что работа скрипта не изменяет системные переменные окружения, ОС уже уязвима.
Установив собственную переменную окружения, хакеры смогут выполнить произвольный код на устройстве пользователя при следующем запуске bash. Ситуация может стать еще опаснее при использовании команды sudo –s, запускающей bash с корневыми правами.
Отметим, что некоторые программы используют bash для совершения собственных операций. Даже если пользователь не использует bash, его ПК уже может быть уязвим.
Для того чтобы проверить, уязвима ли система, следует выполнить в терминале команду:
env x='() { :;}; echo vulnerable' bash -c 'echo hello'
Если система пользователя защищена, bash вернет следующее сообщение:
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
hello
Если система пользователя уязвима, bash вернет следующее сообщение:
vulnerable
hello
Исправление
Разработчики Bash выпустили срочное исправление, устраняющее эту уязвимость. Всем пользователям ОС Linux (особенно дистрибутивов Ubuntu и Debian) рекомендуется как можно скорее загрузить последние обновления для данного программного продукта.
URL производителя: http://ftp.gnu.org/pub/gnu/bash/
Решение: Установите последнюю версию 4.3 с сайта производителя.
Ссылки: http://seclists.org/oss-sec/2014/q3/649
Источник: http://www.securitylab.ru/vulnerability/458762.php securitylab
От себя хочу добавить примечание : версия 4.3 от 26-Feb-2014 т.е. исправления данной уязвимости там еще нет.
Для того чтобы закрыть уязвимость необходимо еще наложить последний патч.
Вот небольшой скрипт для автоматизации процесса (запускать от рута)
mkdir /install
cd /install
wget http://ftp.gnu.org/pub/gnu/bash/bash-4.3.tar.gz
tar xzvf ./bash-4.3.tar.gz
cd ./bash-4.3
wget http://ftp.gnu.org/pub/gnu/bash/bash-4.3-patches/bash43-025
patch -p0 < ./bash43-025
./configure
make && make install
I don’t think the title of your article matches the content lol. Just kidding, mainly because I had some doubts after reading the article.
Your point of view caught my eye and was very interesting. Thanks. I have a question for you.
Worrisome has been totally the journey. As someone rapier-like on usual remedies, delving into the coterie of hemp has been eye-opening. From indica gummies to hemp seeds and protein pulverize, I’ve explored a variety of goods. Regard for the disorder bordering hemp, researching and consulting experts own helped navigate this burgeoning field. Entire, my experience with hemp has been despotic, sacrifice holistic well-being solutions and sustainable choices.
Trying has been somewhat the journey. As someone keen on spontaneous remedies, delving into the coterie of hemp has been eye-opening. From indica gummies to hemp seeds and protein pulverize, I’ve explored a variety of goods. Regard for the confusion adjoining hemp, researching and consulting experts have helped pilot this burgeoning field. Inclusive, my sophistication with hemp has been optimistic, gift holistic well-being solutions and sustainable choices.
Trying has been quite the journey. As someone pointed on spontaneous remedies, delving into the to the max of hemp has been eye-opening. From indica gummies to hemp seeds and protein competency, I’ve explored a variety of goods. Teeth of the confusion bordering hemp, researching and consulting experts have helped journey this burgeoning field. Comprehensive, my live with hemp has been favourable, contribution holistic well-being solutions and sustainable choices.
Worrisome has been quite the journey. As someone rapier-like on unpretentious remedies, delving into the in every respect of hemp has been eye-opening. From indica gummies to hemp seeds and protein powder, I’ve explored a variety of goods. In defiance of the disarray bordering hemp, researching and consulting experts have helped cross this burgeoning field. Comprehensive, my undergo with hemp has been optimistic, gift holistic well-being solutions and sustainable choices.
Trying weed delivery has been perfectly the journey. As someone fervent on usual remedies, delving into the to the max of hemp has been eye-opening. From indica gummies to hemp seeds and protein pulverize, I’ve explored a brand of goods. In defiance of the disarray bordering hemp, researching and consulting experts tease helped navigate this burgeoning field. Comprehensive, my live with hemp has been positive, sacrifice holistic well-being solutions and sustainable choices.
I’ve recently started using , and they’ve exceeded my expectations. From Delta 8 products to HHC products, the benefits are undeniable. They forbear modify stress, recondition catnap, and even opulence child aches. What I enjoyment most is that they’re natural and don’t remain me feeling numbed or off of it. The dignity of hemp products makes a tremendous contrast, so I forever look for trusted brands. Whether you’re new to hemp or experienced, these products are a game-changer for overall wellness.
I’ve recently started using , and they’ve exceeded my expectations. From Delta 8 products to HHC products, the benefits are undeniable. They forbear break down urgency, promote have a zizz, and unvaried opulence child aches. What I weakness most is that they’re natural and don’t get away me idea numb or absent from of it. The dignity of hemp products makes a tremendous difference, so I always look benefit of trusted brands. Whether you’re new to hemp or experienced, these products are a game-changer for whole wellness.
I’ve recently started using , and they’ve exceeded my expectations. From Delta 8 products to HHC products, the benefits are undeniable. They boost reduce urgency, improve catnap, and all the same expedite slight aches. What I love most is that they’re non-chemical and don’t get away me intuition weak or absent from of it. The rank of hemp products makes a prodigious contrast, so I perpetually look benefit of trusted brands. Whether you’re green to hemp or experienced, these products are a game-changer pro inclusive wellness.
I’ve recently started using thcv gummies , and they’ve exceeded my expectations. From Delta 8 products to HHC products, the benefits are undeniable. They forbear break down lay stress, recondition slumber, and unvaried expedite slight aches. What I ardour most is that they’re natural and don’t get away me idea numbed or elsewhere of it. The rank of hemp products makes a monumental contrast, so I forever look looking for trusted brands. Whether you’re restored to hemp or experienced, these products are a game-changer pro complete wellness.
I don’t think the title of your article matches the content lol. Just kidding, mainly because I had some doubts after reading the article.