Bug w powłoce systemowej Bash, stosowanej w Linuksie, OS X i wielu systemach uniksowych, opisany jako CVE-2014-627, może być większym zagrożeniem niż odkryty w kwietniu Heartbleed. Krytyczna luka pozwala na stworzenie zmiennych środowiskowych w powłoce Bash ze specjalnie zmodyfikowanymi wartościami, przed wywołaniem głównej powłoki.
Bash to interpreter poleceń systemowych, używany powszechnie na komputerach z systemami uniksowymi. Cyberprzestepcy mogli wykorzystać lukę w Bashu do przejęcia kontroli nad systemami.
"To jest bardzo poważny bug. Znacznie poważniejszy niż Heartbleed, z uwagi na fakt, że dotyczy serwerów, które zarządzają znaczącą porcją ruchu internetowego. Możemy spodziewać się, a są to dość konserwatywne szacunki, że błąd mógł wpłynąć na 20-50% serwerów obsługujących strony internetowe. W szczególności problem ten dotyczy serwerów WWW wykorzystujących GNU BASH do przetwarzania ruchu internetowego. Ponadto, nowo odkryty bug dotyczy prawie wszystkich serwerów zbudowanych w oparciu o CGI, które zwykle są starszymi systemami funkcjonującymi w Internecie" - mówi Darien Kindlund, dyrektor Threat Research w firmie FireEye.
Aby sprawdzić, czy Twój system jest podatny na atak, wywołaj polecenie:
$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
Jeśli w odpowiedzi pojawi się "vulnerable" - oznacza podatność na atak. Należy jak najszybciej wgrać łatkę.
Odpowiednią poprawkę przygotował już Red Hat: Resolution for Bash Code Injection Vulnerability via Specially Crafted Environment Variables (CVE-2014-6271) in Red Hat Enterprise Linux. Łatkę można zainstalować w systemach Red Hat Enteprise Linux (RHEL) i CentOS. Poprawki dla innych dystrybucji powinny pojawić się niebawem.