Halvem kui südamelöök? Tutvuge ShellShockiga: uus turvarisk OS X-i ja Linuxi jaoks

Reklaam

A tõsine julgeolekuprobleem koos bashi kestaga - mis on enamiku UNIX-sarnaste opsüsteemide põhikomponent - on avastatud, millel on oluline mõju arvuti turvalisusele kogu maailmas.

See probleem on olemas kõigis Bashi skriptikeele versioonides kuni versioonini 4.3, mis mõjutab enamikku Linuxi masinaid, ja kogu arvutites, kus töötab OS X. ja võib näha ründajat, kes kasutab seda probleemi oma koodi käivitamiseks.

Kas soovite teada, kuidas see töötab ja kuidas ennast kaitsta? Lisateavet leiate siit.

Mis on Bash?

Bash (tähistab Bourne Again Shelli) on vaikimisi käsuridatõlk, mida kasutatakse lisaks OS X-le ka enamikes Linuxi ja BSD-i distributsioonides. Seda kasutatakse programmide käivitamise meetodina, süsteemi utiliitide kasutamisel ja nende aluseks oleva opsüsteemiga suhtlemisel käskude käivitamise kaudu.

Lisaks võimaldavad Bash (ja enamus Unixi kestasid) UNIX-i funktsioonide skriptimist väikestes skriptides. Sarnaselt enamike programmeerimiskeeltega - näiteks Python, JavaScript ja CoffeeScript

CoffeeScript on JavaScript ilma peavaludetaMulle pole kunagi nii väga JavaScripti kirjutamine meeldinud. Alates päevast, kui ma selle esimese rea kirjutasin, olen alati pahaks pannud, et ükskõik, mida ma selles kirjutan, näib alati Jacksonina sarnane ... Loe rohkem - Bash toetab enamiku programmeerimiskeeltega ühiseid funktsioone, nagu funktsioonid, muutujad ja ulatus.

Bash on peaaegu üldlevinud. Paljud inimesed kasutavad terminit Bash kõigi käsuridade liideste jaoks, olenemata sellest, kas nad tegelikult kasutavad Bash-kesta. Ja kui olete kunagi käsurealt installinud WordPressi või Ghosti Kas olete registreerunud ainult SSH-ga veebimajutamiseks? Ärge muretsege - installige veebitarkvara hõlpsaltKas te ei tea esimest asja Linuxi käitamisel selle võimsa käsurida kaudu? Ärge enam muretsege. Loe rohkem või tunneldas oma veebiliiklust läbi SSH Kuidas tunnistada veebiliiklust SSH Secure Shelli abil Loe rohkem , olete üsna tõenäoliselt Bashit kasutanud.

See on igal pool. Mis teeb selle haavatavuse veelgi murettekitavamaks.

Rünnaku lahkamine

Haavatavus - avastas Prantsuse julgeolekuuurija Stéphane Chazleas - on põhjustanud palju paanikat Linuxi ja Maci kasutajatel kogu maailmas, samuti äratanud tähelepanu tehnoloogiaajakirjanduses. Ja seda ka mõjuvatel põhjustel, kuna Shellshock võib potentsiaalselt näha ründajaid privilegeeritud süsteemidele juurdepääsu saamiseks ja enda pahatahtliku koodi täideviimiseks. See on vastik.

Aga kuidas see töötab? Madalaimal võimalikul tasemel kasutatakse ära kuidas keskkonnamuutujad töö. Neid kasutavad mõlemad UNIX-i sarnased süsteemid ja Windows Mis on keskkonnamuutujad ja kuidas neid kasutada? [Windows]Aeg-ajalt õpin ma väikese näpunäite, mis paneb mind mõtlema, et "noh, kui ma oleksin teadnud, et aasta tagasi oleks see mind tundideks kokku hoidnud". Ma mäletan eredalt, kuidas õppisin ... Loe rohkem salvestada väärtused, mis on vajalikud arvuti korrektseks tööks. Need on üle kogu süsteemi saadaval ja need võivad salvestada kas ühe väärtuse - näiteks kausta või numbri asukoha - või funktsiooni.

Funktsioonid on mõiste, mis leitakse tarkvaraarenduses. Aga mida nad teevad? Lihtsamalt öeldes koondavad nad komplekti juhiseid (mida tähistatakse koodiridadega), mida hiljem saab täita mõni muu programm või kasutaja.

Bashi tõlgi probleem seisneb selles, kuidas ta käitub keskkonnamuutujatena funktsioonide talletamisega. Bash-is salvestatakse funktsioonides leitav kood paari lokirullide vahele. Kui ründaja jätab mõne bashi koodi väljaspool lokirullist, täidab süsteem selle siis. See jätab süsteemi rünnakute perekonna jaoks, mida nimetatakse koodisüstimisrünnakuteks, avatuks.

Teadlased on juba leidnud potentsiaalseid rünnakuvektoreid, kasutades ära tarkvara, näiteks Apache veebiserver Apache veebiserveri seadistamine 3 lihtsa sammunaÜkskõik, mis põhjusel on, võite võib-olla mingil hetkel soovida veebiserveri tööle hakata. Ükskõik, kas soovite endale kaugjuurdepääsu teatud lehtedele või teenustele, soovite kogukonna luua ... Loe rohkem , ja tavaline UNIX-i utiliidid, näiteks WGET Vidina valdamine ja trikkide allalaadimise õppimineMõnikord ei piisa lihtsalt veebisaidi salvestamiseks brauserist. Mõnikord on vaja natuke rohkem jõudu. Selleks on olemas väike väike käsurida, mida nimetatakse Wgetiks. Vidin on ... Loe rohkem suhelda kestaga ja kasutada keskkonnamuutujaid.

See bash viga on halb ( https://t.co/60kPlziiVv ) Hankige haavatavale veebisaidile vastupidine kest http://t.co/7JDCvZVU3S kõrval @ortegaalfredo

- Chris Williams (@diodesign) 24. september 2014

CVE-2014-6271: vidin -U "() {test;}; / usr / bin / touch / tmp / VULNERABLE" myserver / cgi-bin / test

- Hernan Ochoa (@hernano) 24. september 2014

Kuidas seda testida?

Kas soovite teada saada, kas teie süsteem on haavatav? Selle välja selgitamine on lihtne. Lihtsalt avage terminal ja tippige:

env x = '() {:;}; kaja haavatav 'bash -c "kaja see on test"

Kui teie süsteem on haavatav, väljastab see seejärel:

haavatav see on test

Kuigi puutumata süsteem väljastab:

env x = '() {:;}; kaja haavatav 'bash -c "kaja see on test" bash: hoiatus: x: funktsiooni määratluse katse ignoreerimine bash: tõrge funktsiooni definitsiooni importimisel tõendile `x' see on test

Kuidas seda parandada?

Avaldamise ajaks peaks viga - mis avastati 24. septembril 2014 - olema parandatud ja parandatud. Peate lihtsalt oma süsteemi värskendama. Kui Ubuntu ja Ubuntu variandid kasutavad põhikerena Dashit, kasutatakse Bashit siiski mõne süsteemi funktsionaalsuse jaoks. Selle tulemusel soovitatakse teil seda värskendada. Selleks tippige:

sudo apt-get update. sudo apt-get upgrade

Fedora ja muude Red Hat'i variantide korral tippige:

sudo yum värskendus

Apple ei ole veel selle jaoks turvaparandust avaldanud, kuigi kui nad seda teevad, vabastavad nad selle rakenduste poe kaudu. Veenduge, et kontrollite regulaarselt turvavärskendusi.

Chromebookid - nende aluseks on Linux ja saab käivitage enamik distrosid ilma suurema vaevata Kuidas installida Linux ChromebookiKas vajate oma Chromebooki Skype'i? Kas teil jääb vahele, et teil pole Steami kaudu juurdepääsu mängudele? Kas soovite kasutada VLC Media Playerit? Seejärel alustage Linuxi kasutamist oma Chromebookis. Loe rohkem - kasutage Bashit teatud süsteemifunktsioonide jaoks ja Dashit nende peamise kestana. Google peaks õigel ajal värskendama.

Mida teha, kui teie distro pole veel basski parandanud

Kui teie distro ei ole veel Bash'i parandust avaldanud, võiksite kaaluda distributsioonide muutmist või mõne muu kesta installimist.

Algajatele soovitaksin vaadata Kalakest. Sellega kaasnevad mitmed funktsioonid, mis praegu pole Bashis saadaval ja mis muudavad Linuxi töötamise veelgi meeldivamaks. Nende hulka kuuluvad autosoovitused, erksad VGA-värvid ja võimalus seda veebiliidese kaudu konfigureerida.

Autor MakeUseOautor Andrew Bolster soovitab ka teil vaadata zSH, mis on kaasas tiheda integreerimisega Giti versiooni juhtimissüsteemiga, samuti automaatse täitmisega.

@matthewhughes zsh, kuna parem automaatne lõpuleviimine ja integreerimine

- Andrew Bolster (@Bolster) 25. september 2014

Kusjuures kõige hirmutavam Linuxi haavatavus?

Shellshock on juba relvastatud. Seespool üks päev haavatavust maailmale avaldatud kujul oli seda juba looduses süsteemide kompromiteerimiseks kasutatud. Veel murettekitavam on see, et haavatavad pole ainult kodukasutajad ja ettevõtted. Julgeolekueksperdid ennustavad, et viga jätab ohtu ka sõjaväe ja valitsussüsteemid. See on peaaegu sama õudusunenägu kui Heartbleed.

Püha lehm on palju .mil ja .gov saite, mille omanikuks saab CVE-2014-6271.

- Kenn White (@kennwhite) 24. september 2014

Niiet palun. Uuendage oma süsteeme, eks? Andke mulle teada, kuidas teil läheb, ja oma mõtteid selle tüki kohta. Kommentaaride lahter on allpool.

Foto krediit:zanaca (IMG_3772.JPG)