Accueil Forum -> Techno Geek -> Technophile  >>  N'oubliez de mettre à jour vos machines UNIX si vous avez BASH dessus
1 messages
Accueil Forum -> Techno Geek -> Technophile  >>  N'oubliez de mettre à jour vos machines UNIX si vous avez BASH dessus
1 messages

N'oubliez de mettre à jour vos machines UNIX si vous avez BASH dessus

25 septembre 2014 à 14:48 MetalTux    
EDIT : Je voulais dire : N'oubliez PAS de mettre à jour vos machines UNIX si vous avez BASH dessus
Mais je peux pas éditer le titre, tant pis

Bonjour à tous

Je lance ce topic juste pour faire passer une alerte sécurité concernant BASH (Shellshock/CVE-2014-6271) a été dévoilée hier

La faille concerne plusieurs distro GNU/Linux, OS X et aussi autres UNIX tels que FreeBSD si BASH à été installé (pas installé par défaut, le shell de FreeBSD étant tcsh)

La faille consiste à exécuter des sripts shell à l'insu des utilisateurs/admins en injectant du code arbitraire (et malveillant, évidemment) contenu dans les noms de variables d'environnement, donc le code est exécuté au moment au le shell est lancé
Plusieurs programmes utilisent des shells en tâches de fond,
Dans certaines configurations, notamment si BASH est le shell par défaut de votre machine, il est possible de lancer des attaques via le réseaux pour exploiter cette faille
Les vecteurs d'attaques sont autres les requêtes HTTP, qui peuvent être utiliser pour injecter du code malveillant, qui sera exécuté via des scripts CGI, donc si vous avez des serveurs Web concernées, mettez les à jours le plus rapidement possible

Pour tester si votre système est vulnérable, si toute fois utiliser un code nuisible, essayez la commande suivante, en tant que root

root@machine:/home/username# env x='() { :;}; echo vuln' bash -c "echo test"

Si vous êtes vulnérable à la faille CVE-2014-6271, vous voyez s'afficher


bash a écrit:
vuln
test



Sinon, vous devriez, avoir quelque chose du genre (en fonction de la langue de votre installation)


bash a écrit:
bash: avertissement :x: ignoring function definition attempt
bash: erreur lors de l'import de la définition de fonction pour « x »
test


J'ai fais le test sur Debian après une mise à jour, voilà le résulat
Image

Pour OS X j'ignore s'il y a des patches disponibles, j'ai pas d'OS X
Pour la plupart des distributions communes de GNU/Linux, Debian, Ubuntu, RedHat entre autres, sont ont publié des patches


Message édité le 2014-09-25 17:04:22 par MetalTux