Foi no passado dia 24 de Setembro que soou o alarme para uma nova falha de segurança grave, baptizada com o nome de Shellshock, que põe em risco máquinas com Linux e até mesmo máquinas com OSX. A vulnerabilidade já se encontra identificada e afecta a shell BASH, sendo possível manipular variáveis de ambiente, permitindo, por exemplo, atribuir uma função a uma variável (podendo até receber parâmetros de entrada).
Quem tem máquinas Linux ou Macs com OSX então é muito importante que verifique se a shell Bash tem uma versão inferior ou igual a 4.3. No caso do seu sistema ser afectado por tal vulnerabilidade é importante que saiba que o mesmo pode ser atacado remotamente por atacantes não autenticados.
O bug que afecta a shell reside no facto de ser possível manipular variáveis de ambiente no próprio bash, permitindo, por exemplo, atribuir uma função a uma variável (podendo até receber parâmetros de entrada). Talvulnerabilidade já foi classificada com a nota máxima na base de dados de vulnerabilidades do NIST.
Para saber se o seu sistema (Linux) corre risco basta que execute os seguinte comandos. Se o output for shellshock então é importante que aplique de imediato o patach.
Depois de identificado o problema, a equipa responsável pelo Bash lançou já um conjunto de patchs (ver aqui) para quem usa o Bash desde a versão 3.0 até ao 4.3. No caso do Debian e do Red Hat os pacthes já estão disponíveis nos repositórios. De referir que esa vulnerabilidade pode ter consequências tão graves como o Heartbleed descoberto em Abril de 2014.
Documentação e patch para cada um dos sistema
Portanto este output é bom sinal?
#bash: syntax error near unexpected token `(‘
Bom dia Zé,
Há aí algo no comando que falhou, pois o interpretador não consegui processar o mesmo.
Experimenta de novo sff
env X=”() { :;} ; echo shellshock” /bin/sh -c “echo completed”
env X=”() { :;} ; echo shellshock” `which bash` -c “echo completed”