Recientemente se ha desvelado la vulnerabilidad
Shellshock, la cual es más peligrosa incluso que
Hearthbleed y afecta a Bash, el intérprete de línea de comando que emplean casi todos los sistemas Unix (Linux, Android, Mac OS X…).
¿En qué consiste la vulnerabilidad?
La vulnerabilidad de Shellshock permite un ataque remoto para ejecutar un código arbitrario en el sistema afectado, con lo que el craker podría hacer lo que quiera en el dispositivo de la victima, desde inutilizarlo, hasta utilizarlo para realizar otro ataque, o ponerlo al servicio de cualquiera.
La peligrosidad de este fallo reside en que es muy sencillo sacar provecho de él, a pesar de que el virus fue clasificado como de alto impacto puede ser explotado con sólo copiar y pegar una línea de código, ya que su nivel de complegidad es bajo.
¿Cuál es el alcance del problema?
Shellshock podría haber afectado a unos 500 millones de servidores web, y otros dispositivos conectados a internet como smartphones, cerraduras inteligentes, servidores web….
Solución:
Ya se han detectado escaneos en busca de este fallo, como indica la firma Volexity, que ha capturado peticiones GET con la siguiente construcción:
GET / HTTP/1.0
User-Agent: shellshock-scan (http://blog.erratasec.com/2014/09/bash-shellshock-scan-of-internet.html)
Accept: */*
Cookie: () { :; }; ping -c 17 209.126.230.74
Host:() { :; }; ping -c 23 209.126.230.74
Referer: () { :; }; ping -c 11 209.126.230.74
Se puede comprobar si un sistema es vulnerable con el comando:
$ env x='() { :;}; echo vulnerable’ bash -c «echo this is a test»
Tras ejecutar este comando, un sistema vulnerable devuelve el siguiente resultado:
vulnerable
this is a test
La vulnerabilidad ha recibido el identificador CVE-2014-6271. Por otra parte, también se ha asignado el identificador CVE-2014-7169 a una corrección incompleta de esta vulnerabilidad por parte de Red Hat, por lo que los afectados deberían implementar medidas adicionales, como fortalecer el firewall, hacer cambios en el software, o contactar con especialistas en seguridad informática.
Fuentes: Inteco, noticiasdot
0 comentarios