Shellshock : vulnérable ou pas ?

Le par  |  15 commentaire(s)
peur

Une commande permet de savoir si une machine encourt un risque en raison d'une version vulnérable de Bash.

Pour les systèmes Linux, UNIX mais aussi pour OS X, la menace ShellShock est désormais d'actualité en raison de l'omniprésence de l'interpréteur en ligne de commande Bash. Celui-ci est affecté par une vulnérabilité dont l'exploitation simple permet d'exécuter du code arbitraire à distance.

BashLes experts en sécurité informatique s'inquiètent déjà d'un problème pire que Heartbleed, et la crainte que la vulnérabilité donne lieu à la création d'un ver qui se répandra rapidement.

Là où Heartbleed permettait d'espionner et extraire au petit bonheur la chance des données potentiellement sensibles émanant de sites, Shellshock permet à des attaquants de détourner des ordinateurs dont des serveurs Web afin de mener diverses actions.

Pour la France, le CERT-FR publie à son tour une alerte au sujet de cette vulnérabilité dans Bash et souligne en particulier le cas de serveurs Web employant des scripts Bash comme CGI-bin, de certains serveurs SSH et de clients DHCP.

Afin de savoir si une version de Bash est vulnérable, il est possible de passer par cette commande :

$ env VAR='() { 0; }; echo danger' bash -c "echo bonjour"

Si la machine est vulnérable, la commande renverra donc :

danger
bonjour

Le CERT-FR prévient que les correctifs actuels sont incomplets, mais recommande toutefois de les appliquer afin de rendre une exploitation plus difficile. Dans le bulletin d'alerte, d'autres mesures de contournement sont en outre proposées, dont pour des services Web vulnérables.

Complément d'information

Vos commentaires Page 1 / 2

Gagnez chaque mois un abonnement Premium avec GNT : Inscrivez-vous !
Trier par : date / pertinence
Le #1810301
Danger ! Bonjour bonsoir
Le temps de réaliser, et la machine est paralysée
Le #1810312
Mon mini PC sous Linux Mint XFCE : Danger bonjour

:-(
Le #1810313
env VAR='() { 0; }; echo danger' bash -c "echo bonjour"
bash: avertissement : VAR: ignoring function definition attempt
bash: erreur lors de l'import de la définition de fonction pour « VAR »
bonjour


faut que je vois ma debian tiens ....je reviens

Le #1810315
mapool a écrit :

env VAR='() { 0; }; echo danger' bash -c "echo bonjour"
bash: avertissement : VAR: ignoring function definition attempt
bash: erreur lors de l'import de la définition de fonction pour « VAR »
bonjour


faut que je vois ma debian tiens ....je reviens


C'est après une MAJ récente, je suppose ? Debian 7 ici, avec juste une MAJ de bash et libnss3 (je crois, pas bien fait attention au nom) vulnérable avant mise à jour.
Le #1810317
Avec ma machine principal sous Linux Mint 17 Mate 64 Bits :

bash: avertissement : VAR: ignoring function definition attempt
bash: erreur lors de l'import de la définition de fonction pour « VAR »
bonjour


Le #1810320
bugmenot a écrit :

mapool a écrit :

env VAR='() { 0; }; echo danger' bash -c "echo bonjour"
bash: avertissement : VAR: ignoring function definition attempt
bash: erreur lors de l'import de la définition de fonction pour « VAR »
bonjour


faut que je vois ma debian tiens ....je reviens


C'est après une MAJ récente, je suppose ? Debian 7 ici, avec juste une MAJ de bash et libnss3 (je crois, pas bien fait attention au nom) vulnérable avant mise à jour.



Oui,y'a une eu une mise à jour de bash dans les paquets par défaut de debian aujourd'hui



Le #1810324
Opensuse13.1 à jour (ce matin)

bash: avertissement : VAR: ignoring function definition attempt
bash: erreur lors de l'import de la définition de fonction pour « VAR »
bonjour
Le #1810325
bugmenot demande :

..//C'est après une MAJ récente, je suppose ?/...

Tout a fait ,ce matin je lance les mises à jours et effectivement il y avait des libnssx présents.

Bon ma debian va bien aussi pour le coup.

A mon avis ça fait quelques jours qu'ils envoie du patch car depuis 2/3 jours j'en ai vu passer du libnss.

sous wheezy, Iceweasel s'est mis à jour et un paquet de certificat l'ont été aussi.

M'enfin comme d'hab belle réactivitée de la communauté du libre.

n'en déplaise au dictateur winx (j'ai nommé K59)

Le #1810330
Danger Bonjour sur ma Netrunner 2014 (Basée Kubuntu) ... Je crois que je vais laisser faire les mises à jour proposées

Addendum : Après mises à jour, tout est OK
Le #1810332
Le bash de l'iphone3g (fw whited00r) semble vulnérable.L'injection est terriblement simple à faire sur un serveur web, un peu plus ardu avec le dhcp...

Un peu de doc sur le sujet:
http://www.kernelmode.info/forum/viewtopic.php?f=16&t=3505#p23987
Suivre les commentaires
Poster un commentaire
Anonyme
:) ;) :D ^^ 8) :| :lol: :p :-/ :o :w00t: :roll: :( :cry: :facepalm:
:andy: :annoyed: :bandit: :alien: :ninja: :agent: :doh: :@ :sick: :kiss: :love: :sleep: :whistle: =]