Shellshock führt Befehle durch Bash-Umgebungsvariablen aus
Zusammenfassung
Stephane Chazelas meldet eine Bash-Lücke, bei der Daten hinter exportierten Funktionsdefinitionen als Befehle ausgeführt werden. Die Lücke erhielt CVE-2014-6271.
Ideen
- Bash importierte Funktionen aus speziell formatierten Umgebungsvariablen.
- Angehängter Text wurde beim Import unerwartet ausgeführt.
- CGI übertrug entfernte Header in die Prozessumgebung.
- Zahlreiche Netzwerkdienste starteten Bash indirekt.
Einsichten
- Harmlose Daten werden gefährlich, sobald ein Parser sie als Code behandelt.
- Alte Komfortfunktionen können über Jahrzehnte verborgene Angriffsflächen tragen.
- Inventarisierung indirekter Abhängigkeiten entscheidet über Reaktionsgeschwindigkeit.
Fakten
- Sie betraf zahlreiche historische Bash-Versionen.
- Erste Patches beseitigten nicht alle Varianten.
Empfehlungen
- Aktualisiere Bash und starte betroffene Dienste neu.
- Suche nach CGI- und DHCP-Pfaden mit Shellaufrufen.
Referenzen
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.