Nachdem Hertbleed (der SSL-Bug) überstanden ist kommt nun der nächste schon seit längerer Zeit aktive Bug, welcher sich zum erlangen des Zugriffs über Shell ausnutzen läßt, zum Vorschein: Shellshock.
Shellshock Bug auf MacOSX
Genauer gesagt wird eine fehlerhafte Version der freien Unix-Shell bash gezielt ausgenutzt. Da diese recht häufig im Einsatz ist (man denke nur an die unzähligen Router, Root-Server etc. welche auf Linux basieren) könnte das Problem noch einige Zeit akut sein.
Die großen Distributionen haben schnell reagiert und Updates zur Verfgüng gestellt – so mancher Routerhersteller wird allerdings vielleicht gar keine neue Version herausbringen für sein Endgerät. Es bleibt nur die Option die Shell (SSH, Telnet) tunlichst nicht aus dem Internet erreichbar zu machen.
Testen kann man übrigens sein System mit einem recht einfachen Shell-CMD:
env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
Ist man betroffen erhält man entsprechend die Ausgabe:
vulnerable
Anderfalls erscheint eine Fehlermeldung.
Weitere Infos gibts u.a. bei T3N, Heise, Golem
http://t3n.de/news/shellshock-bash-bug-sicherheit-linux-os-x-unix-568692/
http://www.golem.de/news/shellshock-immer-mehr-luecken-in-bash-1409-109483.html
http://www.golem.de/news/bash-luecke-die-hintergruende-zu-shellshock-1409-109463.html
http://www.heise.de/security/meldung/ShellShock-Standard-Unix-Shell-Bash-erlaubt-das-Ausfuehren-von-Schadcode-2403305.html
http://www.heise.de/security/meldung/Bash-Luecke-ShellShock-ist-noch-nicht-ausgestanden-2403607.html
http://www.heise.de/security/meldung/Angriffe-auf-ShellShock-Luecke-haeufen-sich-2404562.html
Ausführliche Infos: