Shellshock : vulnérable ou pas ?

Le par Jérôme G.  |  15 commentaire(s)
peur

Une commande permet de savoir si une machine encourt un risque en raison d'une version vulnérable de Bash.

Pour les systèmes Linux, UNIX mais aussi pour OS X, la menace ShellShock est désormais d'actualité en raison de l'omniprésence de l'interpréteur en ligne de commande Bash. Celui-ci est affecté par une vulnérabilité dont l'exploitation simple permet d'exécuter du code arbitraire à distance.

BashLes experts en sécurité informatique s'inquiètent déjà d'un problème pire que Heartbleed, et la crainte que la vulnérabilité donne lieu à la création d'un ver qui se répandra rapidement.

Là où Heartbleed permettait d'espionner et extraire au petit bonheur la chance des données potentiellement sensibles émanant de sites, Shellshock permet à des attaquants de détourner des ordinateurs dont des serveurs Web afin de mener diverses actions.

Pour la France, le CERT-FR publie à son tour une alerte au sujet de cette vulnérabilité dans Bash et souligne en particulier le cas de serveurs Web employant des scripts Bash comme CGI-bin, de certains serveurs SSH et de clients DHCP.

Afin de savoir si une version de Bash est vulnérable, il est possible de passer par cette commande :

$ env VAR='() { 0; }; echo danger' bash -c "echo bonjour"

Si la machine est vulnérable, la commande renverra donc :

danger
bonjour

Le CERT-FR prévient que les correctifs actuels sont incomplets, mais recommande toutefois de les appliquer afin de rendre une exploitation plus difficile. Dans le bulletin d'alerte, d'autres mesures de contournement sont en outre proposées, dont pour des services Web vulnérables.


  • Partager ce contenu :
Complément d'information

Vos commentaires Page 1 / 2

Trier par : date / pertinence
Anonyme
Le #1810301
Danger ! Bonjour bonsoir
Le temps de réaliser, et la machine est paralysée
FRANCKYIV offline Hors ligne VIP icone 51000 points
Premium
Le #1810312
Mon mini PC sous Linux Mint XFCE : Danger bonjour

:-(
mapool offline Hors ligne VIP avatar 10467 points
Le #1810313
env VAR='() { 0; }; echo danger' bash -c "echo bonjour"
bash: avertissement : VAR: ignoring function definition attempt
bash: erreur lors de l'import de la définition de fonction pour « VAR »
bonjour


faut que je vois ma debian tiens ....je reviens

Anonyme
Le #1810315
mapool a écrit :

env VAR='() { 0; }; echo danger' bash -c "echo bonjour"
bash: avertissement : VAR: ignoring function definition attempt
bash: erreur lors de l'import de la définition de fonction pour « VAR »
bonjour


faut que je vois ma debian tiens ....je reviens


C'est après une MAJ récente, je suppose ? Debian 7 ici, avec juste une MAJ de bash et libnss3 (je crois, pas bien fait attention au nom) vulnérable avant mise à jour.
FRANCKYIV offline Hors ligne VIP icone 51000 points
Premium
Le #1810317
Avec ma machine principal sous Linux Mint 17 Mate 64 Bits :

bash: avertissement : VAR: ignoring function definition attempt
bash: erreur lors de l'import de la définition de fonction pour « VAR »
bonjour


Chitzitoune offline Hors ligne VIP avatar 19014 points
Le #1810320
bugmenot a écrit :

mapool a écrit :

env VAR='() { 0; }; echo danger' bash -c "echo bonjour"
bash: avertissement : VAR: ignoring function definition attempt
bash: erreur lors de l'import de la définition de fonction pour « VAR »
bonjour


faut que je vois ma debian tiens ....je reviens


C'est après une MAJ récente, je suppose ? Debian 7 ici, avec juste une MAJ de bash et libnss3 (je crois, pas bien fait attention au nom) vulnérable avant mise à jour.



Oui,y'a une eu une mise à jour de bash dans les paquets par défaut de debian aujourd'hui



lebonga offline Hors ligne VIP avatar 31499 points
Le #1810324
Opensuse13.1 à jour (ce matin)

bash: avertissement : VAR: ignoring function definition attempt
bash: erreur lors de l'import de la définition de fonction pour « VAR »
bonjour
mapool offline Hors ligne VIP avatar 10467 points
Le #1810325
bugmenot demande :

..//C'est après une MAJ récente, je suppose ?/...

Tout a fait ,ce matin je lance les mises à jours et effectivement il y avait des libnssx présents.

Bon ma debian va bien aussi pour le coup.

A mon avis ça fait quelques jours qu'ils envoie du patch car depuis 2/3 jours j'en ai vu passer du libnss.

sous wheezy, Iceweasel s'est mis à jour et un paquet de certificat l'ont été aussi.

M'enfin comme d'hab belle réactivitée de la communauté du libre.

n'en déplaise au dictateur winx (j'ai nommé K59)

Ulysse2K offline Hors ligne VIP icone 46201 points
Le #1810330
Danger Bonjour sur ma Netrunner 2014 (Basée Kubuntu) ... Je crois que je vais laisser faire les mises à jour proposées

Addendum : Après mises à jour, tout est OK
Valu offline Hors ligne Vétéran avatar 1215 points
Le #1810332
Le bash de l'iphone3g (fw whited00r) semble vulnérable.L'injection est terriblement simple à faire sur un serveur web, un peu plus ardu avec le dhcp...

Un peu de doc sur le sujet:
http://www.kernelmode.info/forum/viewtopic.php?f=16&t=3505#p23987
icone Suivre les commentaires
Poster un commentaire