Niedawno cały świat huczał z powodu luki Heartbleed, która dotyczyła niemal 2/3 stron internetowych na całym globie. Ostatnio jest głośno z powodu odkrytej podatności Shellsock, która może dotyczyć milionów systemów, serwerów i użytkowników. Atakujący może łatwo wykonać atak, który nie wymaga dużej wiedzy technicznej.
Co to jest ShellShock?
ShellShock to parę luk w powłoce poleceń Bash, która jest powszechnie stosowana w większości dystrybucji systemów Linux, BSD i Mac OS X. Powłoka Bash by móc wykonywać polecenia na komputerze wykorzystuje interfejs wiersza poleceń, aby uzyskać dostęp do wszelkich usług systemu operacyjnego. Podatność ShellShock pozwala atakującemu na wykonanie poleceń w systemie, którego dotyczy luka.
Wykorzystanie tej luki może stanowić zagrożenie, ponieważ większość serwerów internetowych i innych urządzeń podłączonych do Internetu, takich jak telefony komórkowe, routery i IoT (Internet of Things) pracują na systemach operacyjnych Linux lub UNIX. Luka ShellShock tworzy backdoora dla atakującego, która pozwala mu na zdalne wykonanie szkodliwego polecenia, np.: uruchamianie szkodliwych skryptów w systemach i serwerach, zainicjowanie ataku DDoS, przeszukiwanie web-serwerów, modyfikowanie zawartości serwera WWW, rozprzestrzenianie złośliwego oprogramowania, tworzenie botów do wysyłania spamu i wiadomości phishingowych, kradzież poufnych informacji i powodowanie szkód internetowych.
Które urządzenia są podatne?
Wszystkie systemy z rodziny UNIX, takie jak Linux i Mac OS X mogą zawierać podatności. Komputery, serwery i urządzenia podłączone do internetu, takie jak routery, lodówki, chronione hasłem alarmy, drzwi, kamery internetowe…
Które wersje Basha zawierają luki?
Wszystkie wersje Basha włącznie z wersją 4.3 są podatne. Do tej pory większość z nich została już załatana a stosowne aktualizacje zostały udostepnione przez dostawców systemów. US-CERT radzi, aby pobrać najnowsze aktualizacje firmware swoich urządzeń oraz zaktualizować Basha do najnowszej wersji.
Jak można się chronić?
- Należy zainstalować wszystkie aktualizacje oprogramowania dla telefonu komórkowego i komputera.
- Sprawdź, czy producenci Twoich urządzeń udostępnili patche łatające luki.
- Jeśli nie używasz – wyłącz basha w systemach Linux.
- Skorzystaj z porad SHELLSHOCK, aby dowiedzieć się, czy Twój system jest podatny.
Źródło: eScan
