Inyección remota de código en Bash
Fecha de publicación:
25/09/2014
Importancia:
5 -
Crítica
Recursos afectados:
La vulnerabilidad afecta potencialmente a todos los sistemas que tengan Bash instalado. Se recomienda consultar las versiones afectadas para cada producto o distribución.
Descripción:
Stephane Chazelas ha descubierto una vulnerabilidad en el procesamiento de variables de entorno en el interprete de comandos Bash, común en sistemas Linux. Esta vulnerabilidad puede ser explotable de forma remota y podría permitir ejecución de código.
Solución:
Actualizar Bash a la versión recomendada por la distribución o producto correspondiente. En concreto:
Detalle:
La vulnerabilidad descubierta podría ser utilizada para ejecución remota de código, debido a que es común utilizar bash en background dentro de otros procesos. Esto se hace, por ejemplo, para el parseado de scripts CGI (utilizado por Apache, por ejemplo), o incluso ejecución de comandos (utilizado por git, entre otros).
El problema es debido a un incorrecto parseado de las variables de entorno, muchas veces utilizadas para controlar el comportamiento de scripts en Bash. Ya se han detectado escaneos en busca de este fallo, como indica la firma Volexity, que ha capturado peticiones GET con la siguiente construcción:
GET / HTTP/1.0
User-Agent: shellshock-scan (http://blog.erratasec.com/2014/09/bash-shellshock-scan-of-internet.html)
Accept: */*
Cookie: () { :; }; ping -c 17 209.126.230.74
Host:() { :; }; ping -c 23 209.126.230.74
Referer: () { :; }; ping -c 11 209.126.230.74
Se puede comprobar si un sistema es vulnerable con el comando:
$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
Tras ejecutar este comando, un sistema vulnerable devuelve el siguiente resultado:
vulnerable
this is a test
La vulnerabilidad ha recibido el identificador CVE-2014-6271. Por otra parte, también se ha asignado el identificador CVE-2014-7169 a una corrección incompleta de esta vulnerabilidad por parte de Red Hat.
Actualización a 26/09/2014: Cisco ha publicado un aviso con sus productos afectados.
Actualización a 29/09/2014: Las siguientes compañías han publicado información relativa a sus productos afectados: F5, VMWare, Bluecoat, FortiGuard, Palo Alto Networks, IBM, Oracle.
Referencias:
Etiquetas: