泛 UNIX 系統發現新的 Injection 類型安全漏洞 OS X 也受影響

泛 UNIX 系統(包含大多數 Linux 與 OS X)上廣泛使用的 BASH 命令介面,
最近被發現有安全漏洞。
這個漏洞是透過 BASH 命令設定環境變數時,
可越過權限檢查執行夾帶的命令。
我自己側試過 OS X 內的 BASH 也存在這個漏洞。

嚴格來說這算是局域性(local)安全漏洞,
因為一定要在目標系統上執行 BASH 命令才能達到攻擊目的,
大多數的狀況下,當駭客能做到這一點時,
就表示他人已經站在你的電腦前面用你的電腦鍵盤打字,
或是已經經由 SSH 連線非法登入你的電腦。

但是在少數狀況下,
是有可能讓駭客經由其他方式來達到攻擊目的,
目前已知可能會被利用的服務包括:

* 使用 BASH Script + mod_cgi 的 Apache 網頁伺服器。
* 開放式 sshd 伺服器(例如 Github 服務),可用來繞過 ForceCommand 限制。
* 可接受伺服器端 BASH script 的 DHCP 客戶端。
* 內藏攻擊程式碼的第三方惡意程式。
* 實作不良、使用 BASH 當直譯器、且未加入植入程式碼保護的第三方程式。

這個漏洞已知存在相當久的時間,不過直到這幾天才被披露。
目前各大 Linux 發行都在趕工 Patch,Apple 尚未對此發表聲明。

基本上此類攻擊主要是針對伺服器
一般使用者受到影響的機率微乎其微;
不過還是呼籲大家,來路不明軟體不要裝,
另外遠端登入、遠端管理、網頁分享等服務,除非有必要不然建議保持關閉。

資訊來源:
https://community.qualys.com/blogs/laws-of-vulnerabilities/2014/09/24/bash-shellshock-vulnerability

自我檢測方式:
https://community.qualys.com/blogs/securitylabs/2014/09/24/bash-remote-code-execution-vulnerability-cve-2014-6271

相關新聞報導:
http://threatpost.com/major-bash-vulnerability-affects-linux-unix-mac-os-x

中文新聞報導:
從缺(能找到的幾乎都是記者不懂然後胡亂危言聳聽)
2014-09-25 11:06 發佈
限制級
您即將進入之討論頁 需滿18歲 方可瀏覽。
根據「電腦網路內容分級處理辦法」修正條文第六條第三款規定,已於該限制級網頁,依台灣網站分級推廣基金會規定作標示。
評分
複製連結