Просмотр кода страницы Bashdoor

{{стиль статьи|дата=2023-04-15}}
'''Bashdoor''' (также {{lang-en|Shellshock}}<ref name="NYT-20140925-NP">{{cite news |last=Perlroth |first=Nicole |title=Security Experts Expect ‘Shellshock’ Software Bug in Bash to Be Significant |url=https://www.nytimes.com/2014/09/26/technology/security-experts-expect-shellshock-software-bug-to-be-significant.html |date=2014-09-25 |work=[[New York Times]] |accessdate=2014-09-25 |archivedate=2019-04-05 |archiveurl=https://web.archive.org/web/20190405000511/https://www.nytimes.com/2014/09/26/technology/security-experts-expect-shellshock-software-bug-to-be-significant.html }}</ref>) — серия программных [[Уязвимость (компьютерная безопасность)|уязвимостей]], обнаруженных в программе [[Bash|GNU Bash]] в сентябре 2014 года и открыто опубликованных 24 сентября<ref>{{cite web |author=Staff |title=What does the "Shellshock" bug affect? |url=http://www.thesafemac.com/what-does-the-shellshock-bug-affect/ |date=2014-09-25 |work=The Safe Mac |accessdate=2014-09-27 |archive-date=2014-09-29 |archive-url=https://web.archive.org/web/20140929053202/http://www.thesafemac.com/what-does-the-shellshock-bug-affect/ |url-status=live }}</ref>. Множество [[Веб-служба|интернет-сервисов]], в том числе [[веб-сервер]]ы, могут использовать Bash для обработки некоторых запросов, например при исполнении [[Common Gateway Interface|CGI]]-скриптов. Уязвимость позволяет атакующему исполнять произвольные команды, получив [[Несанкционированный доступ|неправомерный доступ]] к компьютерным системам<ref name="qualys" />.

Уязвимости заключаются в том, что [[Bash]] вопреки задекларированным возможностям производит исполнение команд при получении некоторых нестандартных значений [[Переменная среды|переменных окружения]] ({{lang-en2|environment}})<ref name="NYT-20140925-NP" /><ref name="TR-20140924">{{cite web |last=Leyden |first=John |title=Patch Bash NOW: 'Shell Shock' bug blasts OS X, Linux systems wide open |url=https://www.theregister.co.uk/2014/09/24/bash_shell_vuln/ |work=[[The Register]] |date=2014-09-24 |accessdate=2014-09-25 |archive-date=2014-10-16 |archive-url=https://web.archive.org/web/20141016214010/http://www.theregister.co.uk/2014/09/24/bash_shell_vuln |url-status=live }}</ref>. За несколько дней после публикации оригинальной уязвимости было обнаружено несколько сходных ошибок, что не позволило оперативно издать версию с исправлениями.

Изначальная ошибка была обнаружена Стефаном Шазеля [http://stephane.chazelas.free.fr/] {{l6e|fr|Stéphane Chazelas}} 12 сентября 2014 года<ref name="NYT-20140925-NP" />, который предложил назвать её «bashdoor» (созвучно [[backdoor]])<ref name="NYT-20140925-NP" />. Уязвимость получила в базе [http://www.mitre.org/ MITRE] номер '''CVE-2014-6271''' и оставалась неопубликованной (находилась под [[эмбарго]]) до 14 часов по UTC 24 сентября. Цель вышеуказанного ограничения заключалась в том, что авторы программы, создатели [[Дистрибутив Linux|дистрибутивов]] и иные заинтересованные организации получили время принять необходимые меры<ref name="ann">{{cite web|url=http://www.openwall.com/lists/oss-security/2014/09/24/11|title=oss-security - Re: CVE-2014-6271: remote code execution through bash|website=[[Openwall]]|accessdate=2014-09-26|archive-date=2014-09-28|archive-url=https://web.archive.org/web/20140928132218/http://www.openwall.com/lists/oss-security/2014/09/24/11|url-status=live}}</ref>.

Анализ исходного кода Bash свидетельствует, что уязвимость была заложена в код приблизительно в версии 1.13 в 1992 году или ранее<ref>[http://unix.stackexchange.com/questions/157381/when-was-the-shellshock-cve-2014-6271-7169-bug-introduced-and-what-is-the-pat/ bash — When was the shellshock (CVE-2014-6271/7169) bug introduced, and what is the patch that fully fixes it?] {{Wayback|url=http://unix.stackexchange.com/questions/157381/when-was-the-shellshock-cve-2014-6271-7169-bug-introduced-and-what-is-the-pat/ |date=20141014115018 }} — Unix & Linux [[Stack Exchange Network|Stack Exchange]]</ref> и с тех пор оставалась необнаруженной среди общей публики и незадекларированной<ref name="TR-20140924" />. Группа авторов Bash затрудняется в определении точного времени внедрения ошибки из-за недостаточно подробной истории изменений ([[changelog]])<ref name="NYT-20140925-NP" />.

25 сентября 2014 года на базе уязвимости уже были созданы [[ботнет]]ы для проведения [[DoS-атака|DoS]]- и [[DoS-атака|DDoS]]-атак, а также для [[Сканеры уязвимостей|сканирования уязвимостей]]<ref name="IT-20140926-JS" /><ref name="Wired" />. Предполагается, что уязвимы миллионы систем. Ошибка получила максимальную оценку по шкале опасности и сравнивается по значению с [[Heartbleed]] — ошибкой в [[OpenSSL]] (апрель 2014)<ref>{{cite news|url=http://www.rg.ru/2014/09/25/bash-error-site.html|title=На сотнях миллионов компьютеров найдена опаснейшая уязвимость|date=2014-09-25|work=«[[Российская газета]]» |accessdate=2014-09-29|archivedate=2014-09-27|archiveurl=https://web.archive.org/web/20140927062122/http://www.rg.ru/2014/09/25/bash-error-site.html}}</ref><ref>{{cite news|work=[[РБК]] |url=http://www.rbc.ru/rbcfreenews/20140925150017.shtml|title=Ошибка в оболочке Bash поставила под угрозу компьютеры на Linux и OS X|date=2014-09-25|accessdate=2014-09-29|archivedate=2014-09-28|archiveurl=https://web.archive.org/web/20140928030521/http://www.rbc.ru/rbcfreenews/20140925150017.shtml}}</ref>.

== Описание ==
Уязвимость Shellshock (bashdoor) относится к программе [[bash]] (разрабатывается в рамках [[Проект GNU|проекта GNU]]), используемой во множестве [[Unix]]-подобных операционных систем и дистрибутивов в качестве [[Командная оболочка UNIX|интерпретатора командной строки]] и для исполнения командных скриптов. Часто устанавливается в качестве системного интерпретатора по умолчанию.

В Unix-подобных и других поддерживаемых bash операционных системах каждая программа имеет список пар имя-значение, называемый [[Переменная среды|переменными среды]] ({{lang-en|environment variable}}). Когда одна программа запускает другую, то также передается изначальный список переменных среды<ref>{{Cite web |url=http://pubs.opengroup.org/onlinepubs/9699919799/functions/exec.html |title=Open Group Base Specification: exec |access-date=2014-09-29 |archive-date=2014-10-09 |archive-url=https://web.archive.org/web/20141009101028/http://pubs.opengroup.org/onlinepubs/9699919799/functions/exec.html |url-status=live }}</ref>. Кроме переменных среды, bash также поддерживает внутренний список функций — именованных скриптов, которые могут вызываться из исполняемого скрипта bash<ref>{{Cite web |url=http://www.gnu.org/software/bash/manual/bash.html#Shell-Functions |title=Bash Reference Manual: Shell functions |access-date=2014-09-29 |archive-date=2014-09-28 |archive-url=https://web.archive.org/web/20140928074015/http://www.gnu.org/software/bash/manual/bash.html#Shell-Functions |url-status=live }}</ref>. При запуске новых экземпляров bash из существующего bash возможна передача (экспортирование, ''export'') значений существующих переменных окружения и определений функций в порождаемый процесс<ref>{{Cite web |url=http://www.gnu.org/software/bash/manual/bash.html#Bourne-Shell-Builtins |title=Bash Reference Manual: Bourne Shell Builtins |access-date=2014-09-29 |archive-date=2014-09-28 |archive-url=https://web.archive.org/web/20140928074015/http://www.gnu.org/software/bash/manual/bash.html#Bourne-Shell-Builtins |url-status=live }}</ref>. Определения функций экспортируются путём кодирования их в виде новых переменных окружения специального формата, начинающегося с пустых скобок <code>()</code>, за которыми следует определение функции в виде строки. Новые экземпляры bash при своем запуске сканируют все переменные среды, детектируя данный формат и преобразовывая его обратно в определение внутренней функции<ref name="exported-function">{{Cite web |url=http://git.savannah.gnu.org/cgit/bash.git/tree/variables.c?id=ac50fbac377e32b98d2de396f016ea81e8ee9961#n315 |title=Bash 4.3 source code, file variables.c, lines 315—388  |access-date=2014-09-29 |archive-date=2017-04-21 |archive-url=https://web.archive.org/web/20170421230854/http://git.savannah.gnu.org/cgit/bash.git/tree/variables.c?id=ac50fbac377e32b98d2de396f016ea81e8ee9961#n315 |url-status=live }}</ref>. Данное преобразование проводится путём создания фрагмента bash-кода на базе значения переменной среды и его исполнения, то есть «на лету» ({{lang-en|on-the-fly}}). Подверженные уязвимости версии bash не производят проверок, что исполняемый фрагмент содержит лишь определение функции<ref name="exported-function"/>. Таким образом, если злоумышленник имеет возможность подать произвольную переменную среды в запуск bash, то появляется возможность исполнения произвольных команд.

27 сентября был опубликован качественный патч, который добавляет ко всем экспортируемым и импортируемым функциям специальный префикс при их преобразовании в переменные окружения и обратно<ref>{{cite news|url=http://www.zdnet.com/shellshock-better-bash-patches-now-available-7000034115/|title=Shellshock: Better 'bash' patches now available|author=Steven J. Vaughan-Nichols|date=2014-09-27|publisher=ZDNet|lang=en|accessdate=2014-09-29|archivedate=2014-09-29|archiveurl=https://web.archive.org/web/20140929081832/http://www.zdnet.com/shellshock-better-bash-patches-now-available-7000034115/}}</ref>.

== Последующие эпизоды эксплуатирования bash ==
В тот же день, когда была опубликована информация об оригинальной уязвимости и патчи, исправляющие её, Tavis Ormandy обнаружил новую родственную ошибку '''CVE-2014-7169'''<ref name="qualys" />. Обновлённые исправления стали доступны 26 сентября<ref name="qualys" /><ref name="Ubuntu">{{cite web|url=http://www.ubuntu.com/usn/usn-2363-2/|title=Ubuntu|publisher=|accessdate=2014-09-26|archive-date=2014-09-28|archive-url=https://web.archive.org/web/20140928214942/http://www.ubuntu.com/usn/USN-2363-2/|url-status=live}}</ref><ref name="Red Hat">{{cite web|url=https://rhn.redhat.com/errata/RHSA-2014-1306.html|title=Red Hat|publisher=|accessdate=2014-09-26|archive-date=2014-09-26|archive-url=https://web.archive.org/web/20140926032635/https://rhn.redhat.com/errata/RHSA-2014-1306.html|url-status=dead}}</ref><ref name="Red Hat 2">{{cite web|url=https://access.redhat.com/security/cve/CVE-2014-7169|title=Red Hat 2|publisher=|accessdate=2014-09-26|archive-date=2014-10-06|archive-url=https://web.archive.org/web/20141006132655/https://access.redhat.com/security/cve/CVE-2014-7169|url-status=live}}</ref><ref name="CentOS 5.10">{{cite web|url=http://lists.centos.org/pipermail/centos-announce/2014-September/020591.html|title=CentOS 5.10|publisher=|accessdate=2014-09-26|archive-date=2014-09-28|archive-url=https://web.archive.org/web/20140928075642/http://lists.centos.org/pipermail/centos-announce/2014-September/020591.html|url-status=live}}</ref><ref name="CentOS 7">{{cite web|url=http://lists.centos.org/pipermail/centos-announce/2014-September/020592.html|title=CentOS 7|publisher=|accessdate=2014-09-26|archive-date=2014-09-28|archive-url=https://web.archive.org/web/20140928075647/http://lists.centos.org/pipermail/centos-announce/2014-September/020592.html|url-status=live}}</ref>.

Во время работы над исправлением оригинальной ошибки Shellshock, исследователь компании Red Hat, Florian Weimer обнаружил ещё две ошибки: '''CVE-2014-7186''' и '''CVE-2014-7187'''<ref name="FAQshellshock">{{cite web|title=FAQShellshock|url=https://securityblog.redhat.com/2014/09/26/frequently-asked-questions-about-the-shellshock-bash-flaws/|date=2014-09-26|accessdate=2014-09-26|archive-date=2014-09-29|archive-url=https://web.archive.org/web/20140929110812/https://securityblog.redhat.com/2014/09/26/frequently-asked-questions-about-the-shellshock-bash-flaws/|url-status=live}}</ref><ref name="FAQshellshock2">{{cite web|title=FAQShellshock2|url=https://securityblog.redhat.com/tag/cve-2014-7186/|date=2014-09-26|accessdate=2014-09-26|archive-date=2014-10-06|archive-url=https://web.archive.org/web/20141006094154/https://securityblog.redhat.com/tag/cve-2014-7186/|url-status=live}}</ref>.

26 сентября 2014 два разработчика open-source, [[David A. Wheeler]] и Norihiro Tanaka заметили, что существуют дополнительные проблемы, всё ещё не исправленные патчами, доступными на тот момент. В своём электронном письме в почтовые списки рассылок «oss-sec» и «bash bug» Wheeler писал:
{{начало цитаты}}
Этот патч лишь продолжает работы типа «прибей крота» ([[wikt:en:whack-a-mole|whac-a-mole]])<ref>'[[:en:Whac-A-Mole|whack-a-mole]]' — популярный игровой автомат, в переносном смысле — повторяющаяся безвыигрышная задача</ref> по исправлению различных ошибок разбора, начатый первым патчем. Парсер bash конечно же содержит много много много других уязвимостей.
{{oq|en|This patch just continues the 'whack-a-mole' job of fixing parsing errors that began with the first patch. Bash's parser is certain [to] have many many many other vulnerabilities}}
{{конец цитаты|источник=<ref name="BASH Whack-a-mole">{{cite web |last=Gallagher |first=Sean |title=Still more vulnerabilities in bash? Shellshock becomes whack-a-mole |url=https://arstechnica.com/security/2014/09/still-more-vulnerabilities-in-bash-shellshock-becomes-whack-a-mole/ |date=2014-09-26 |publisher=[[Arstechnica]] |accessdate=2014-09-26 |archive-date=2017-01-08 |archive-url=https://web.archive.org/web/20170108202322/http://arstechnica.com/security/2014/09/still-more-vulnerabilities-in-bash-shellshock-becomes-whack-a-mole/ |url-status=live }}</ref>}}

27 сентября 2014, [[Michal Zalewski]] анонсировал, что обнаружил несколько других ошибок в bash<ref name="ITN-20140929">{{cite web |last=Saarinen |first=Juha |title=Further flaws render Shellshock patch ineffective |url=http://www.itnews.com.au/News/396256,further-flaws-render-shellshock-patch-ineffective.aspx |date=2014-09-29 |work=iTnews |accessdate=2014-09-29 |archive-date=2014-09-29 |archive-url=https://web.archive.org/web/20140929163909/http://www.itnews.com.au/News/396256,further-flaws-render-shellshock-patch-ineffective.aspx |url-status=live }}</ref><ref name="BL-20140927">{{cite web |author=lcamtuf |title=Bash bug: apply Florian's patch now (CVE-2014-6277 and CVE-2014-6278) |url=http://lcamtuf.blogspot.com/2014/09/bash-bug-apply-unofficial-patch-now.html |date=2014-09-27 |work=lcamtuf's blog |accessdate=2014-09-29 }}</ref>, одна из которых использует то, что bash часто компилируется без использования техники защиты ASLR ([[Address Space Layout Randomization]])<ref name="HH-20140928">{{cite web |author=Staff |title=Shellshock, Part 3: Three more security problems in Bash (in german) |url=http://www.heise.de/security/meldung/ShellShock-Teil-3-Noch-drei-Sicherheitsprobleme-bei-der-Bash-2404788.html |date=2014-09-28 |work=[[Heise Online]] |accessdate=2014-09-28 |archive-date=2014-09-29 |archive-url=https://web.archive.org/web/20140929175658/http://www.heise.de/security/meldung/ShellShock-Teil-3-Noch-drei-Sicherheitsprobleme-bei-der-Bash-2404788.html |url-status=live }}</ref>. Zalewski также призвал срочно применить патч от Florian Weimer<ref name="ITN-20140929" /><ref name="BL-20140927" /><ref name="HH-20140928" />.

== Список уязвимостей ==

=== CVE-2014-6271 ===
Оригинальный bashdoor: переменная окружения специального вида состоит из определения экспортируемой функции, за которым следуют произвольные команды. Bash уязвимых версий исполняет эти произвольные команды во время своего запуска<ref name='nvd6271'>{{Cite web |url=http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6271 |title=NVD — Detail<!-- Заголовок добавлен ботом --> |access-date=2014-09-29 |archive-date=2014-09-25 |archive-url=https://web.archive.org/web/20140925011002/http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6271 |url-status=live }}</ref>. Пример ошибки:

<source lang="bash">env x='() { :;}; echo Уязвим' bash -c "echo Тестовая печать"</source>

В уязвимых системах этот тест напечатает фразу «Уязвим», выполнив команду из переменной окружения x<ref>{{Cite web |url=https://securityblog.redhat.com/2014/09/24/bash-specially-crafted-environment-variables-code-injection-attack/ |title=Bash specially-crafted environment variables code injection attack {{!}} Red Hat Security<!-- Заголовок добавлен ботом --> |access-date=2014-09-29 |archive-date=2014-09-25 |archive-url=https://web.archive.org/web/20140925035842/https://securityblog.redhat.com/2014/09/24/bash-specially-crafted-environment-variables-code-injection-attack/ |url-status=live }}</ref>.

=== CVE-2014-6277 ===
На 29 сентября детали уязвимости публично не раскрывались<ref name="ITN-20140929" /><ref name="HH-20140928" /><ref name="NIST-20140927">{{cite web |author=Staff |title=National Cyber Awareness System Vulnerability Summary for CVE-2014-6277 |url=https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6277 |date=2014-09-27 |work=[[National Institute of Standards and Technology]] |accessdate=2014-09-28 |archive-date=2014-10-05 |archive-url=https://web.archive.org/web/20141005152042/http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6277 |url-status=live }}</ref>.

=== CVE-2014-6278 ===
На 29 сентября детали уязвимости публично не раскрывались<ref name="ITN-20140929" /><ref name="CVE-20140909">{{cite web |author=Staff |title=CVE Report - CVE-2014-6278 |url=https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-6278 |date=2014-09-09 |work=[[Common Vulnerabilities and Exposures]] |accessdate=2014-09-29 |archive-date=2015-05-23 |archive-url=https://web.archive.org/web/20150523003509/http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-6278 |url-status=live }}</ref>.

=== CVE-2014-7169 ===
Обнаружено [[Tavis Ormandy]] во время работы над '''CVE-2014-6271''':

<code><nowiki>env X='() { (a)=>\' sh -c "echo date"; cat echo</nowiki></code>

Тест приводит к тому, что «echo» становится именем файла для перенаправления вывода, а «date» исполняется. Ошибка получила номер '''CVE-2014-7169'''<ref name="qualys" />.

Пример ошибки 7169 на системе, получившей исправление ошибки '''[http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6271 CVE-2014-6271]''' но не ошибки '''[http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-7169 CVE-2014-7169]''':<ref name="host-project">{{cite web|url=https://host-project.org/content/are-you-open-being-shell-shocked|title=Are You Open to Being Shell-Shocked?|publisher=HOST|accessdate=2014-09-26|archiveurl=https://web.archive.org/web/20141009142842/https://host-project.org/content/are-you-open-being-shell-shocked|archivedate=2014-10-09|url-status=dead}}</ref>
<source lang="bash">$ X='() { (a)=>\' bash -c "echo date"
bash: X: line 1: syntax error near unexpected token `='
bash: X: line 1: `'
bash: error importing function definition for `X'
[root@ ec2-user]# cat echo
Fri Sep 26 01:37:16 UTC 2014
</source>

Исправление обеих ошибок '''[http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6271 CVE-2014-6271]''' и '''[http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-7169 CVE-2014-7169]''' приведет к неработоспособности теста:

<source lang="bash">
$ X='() { (a)=>\' bash -c "echo date"
date
$ cat echo
cat: echo: No such file or directory
</source>

=== CVE-2014-7186 ===
Ошибка вызвана сходными проблемами в коде Bash<ref name=oss-sec-092532 /> однако воздействует с помощью многократного повторения "<<EOF"

;Тест
<source lang="bash">
bash -c 'true <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF' ||
echo "Уязвим по CVE-2014-7186, redir_stack"
</source>
:Уязвимая система отобразит текст "Уязвим по CVE-2014-7186, redir_stack".

===CVE-2014-7187===
Ошибка вызвана сходными проблемами в коде Bash<ref name=oss-sec-092532>{{cite web|last1=Sidhpurwala|first1=Huzaifa|last2=Weimer|first2=Florian|title=Non-upstream patches for bash|url=http://www.openwall.com/lists/oss-security/2014/09/25/32|website=oss-security mailing lists|publisher=Openwall|accessdate=2014-09-27|quote=Internal analysis revealed two out-of-bounds array accesses in the bash parser. This was also independently and privately reported by Todd Sabin <tsabin@...online.net>.|archive-date=2014-09-28|archive-url=https://web.archive.org/web/20140928032545/http://www.openwall.com/lists/oss-security/2014/09/25/32|url-status=live}}</ref>, однако воздействует с помощью множественных повторений «done»

;Тест:
<source lang="bash">
(for x in {1..200} ; do echo "for x$x in ; do :"; done; for x in {1..200} ; do echo done ; done) | bash ||
echo "Уязвим по CVE-2014-7187, word_lineno"
</source>
: Уязвимая система отобразит текст «Уязвим по CVE-2014-7187, word_lineno».

== Векторы атаки ==
В течение часа после публикации уязвимости Bash появились сообщения о взломе компьютерных систем с её помощью. 25 сентября были подтверждены различные атаки «in the wild», начиная с простых ''DoS'', заканчивая развёртыванием серверов ''command & control'' через зловредную систему «BASHLITE»<ref name="BrazilAttacks">{{cite web |author=Various |title=Shellshock Updates: BASHLITE C&Cs Seen, Shellshock Exploit Attempts in Brazil |url=http://blog.trendmicro.com/trendlabs-security-intelligence/shellshock-updates-bashlite-ccs-seen-shellshock-exploit-attempts-in-brazil |date=2014-09-26 |work=[[Trend Micro]] |accessdate=2014-09-26 |archive-date=2014-09-28 |archive-url=https://web.archive.org/web/20140928140605/http://blog.trendmicro.com/trendlabs-security-intelligence/shellshock-updates-bashlite-ccs-seen-shellshock-exploit-attempts-in-brazil/ |url-status=live }}</ref><ref name="bbconShellshock">{{cite web |author=Various |title=Web attacks build on Shellshock bug |url=http://m.bbc.com/news/technology-29375636 |date=2014-09-26 |work=[[BBC]] |accessdate=2014-09-26 |archive-date=2014-09-29 |archive-url=https://web.archive.org/web/20140929171006/http://m.bbc.com/news/technology-29375636 |url-status=live }}</ref>. Корпорация [[Kaspersky Labs]] сообщала, что некоторые из зараженных компьютеров начали атаку DDoS против трех целей<ref name="Wired">{{cite web|last1=Greenberg|first1=Andy|title=Hackers Are Already Using the Shellshock Bug to Launch Botnet Attacks|url=https://www.wired.com/2014/09/hackers-already-using-shellshock-bug-create-botnets-ddos-attacks/|website=Wired|accessdate=2014-09-28|date=2014-09-25|archive-date=2017-01-01|archive-url=https://web.archive.org/web/20170101020155/https://www.wired.com/2014/09/hackers-already-using-shellshock-bug-create-botnets-ddos-attacks/|url-status=live}}</ref>. 26 сентября был обнаружен ботнет «wopbot», составленный из серверов, зараженных через bashdoor, и используемый в DDoS против CDN [[Akamai Technologies]] и для сканирования сетей [[Министерство обороны США|Министерства обороны США]]<ref name="IT-20140926-JS">{{cite news |last=Saarinen |first=Juha |title=First Shellshock botnet attacks Akamai, US DoD networks |url=http://www.itnews.com.au/News/396197,first-shellshock-botnet-attacks-akamai-us-dod-networks.aspx |date=26 Septemberr 2014 |work=iTnews |accessdate=2014-09-26 |archivedate=2014-09-29 |archiveurl=https://web.archive.org/web/20140929040655/http://www.itnews.com.au/News/396197,first-shellshock-botnet-attacks-akamai-us-dod-networks.aspx }}</ref>.

Существует несколько потенциальных путей, которыми атакующий может воспользоваться для передачи произвольных переменных окружения в bash, исполняемый на атакуемом сервере:

=== CGI-атака на веб-сервера ===
Веб-сервера, исполняющие скрипты [[Common Gateway Interface]] (CGI) передают подробности о пользовательском запросе через переменные окружения, например HTTP_USER_AGENT. Если запрос обрабатывается программой Bash, либо другой программой, которая внутри себя вызывает bash, то атакующий может подменить передаваемую по http строку [[User-Agent]] на триггер атаки Shellshock, добавив свои команды<ref name="RD-20140924">{{cite web |author=Various |title=CVE-2014-6271 : Remote code execution through bash |url=https://pay.reddit.com/r/netsec/comments/2hbxtc/cve20146271_remote_code_execution_through_bash/ckrbqac |date=2014-09-24 |work=[[Reddit]] |accessdate=2014-09-26 }}</ref>. Например, в качестве такой команды может подаваться инструкция «ping» с адресом атакующего. По входящим ping-запросам атакующий узнает, сработала ли атака.

Несмотря на то, что CGI — устаревший интерфейс, обладающий и другими рисками безопасности<ref>{{Cite web |url=http://httpd.apache.org/docs/2.2/misc/security_tips.html |title=Apache HTTP Server 2.2 Documentation: Security Tips |access-date=2014-09-29 |archive-date=2014-10-09 |archive-url=https://web.archive.org/web/20141009041209/http://httpd.apache.org/docs/2.2/misc/security_tips.html |url-status=live }}</ref>, он всё ещё используется. Например, уязвим один из стандартных скриптов [[cPanel]]<ref>{{Cite web |url=http://threatpost.com/honeypot-snares-two-bots-exploiting-bash-vulnerability |title=Bash Vulnerability Exploits Dropping DDoS Bots {{!}} Threatpost {{!}} The first stop for security news<!-- Заголовок добавлен ботом --> |access-date=2014-09-29 |archive-date=2014-10-06 |archive-url=https://web.archive.org/web/20141006192930/http://threatpost.com/honeypot-snares-two-bots-exploiting-bash-vulnerability |url-status=live }}</ref>, по оценкам уязвимый cPanel может использоваться на 2—3 % веб-сайтов<ref>{{Cite web |url=http://blog.sucuri.net/2014/09/bash-vulnerability-shell-shock-thousands-of-cpanel-sites-are-high-risk.html |title=Website Security — Bash «Shell Shock» Vulnerability Impacts CPANEL Users {{!}} Sucuri Blog<!-- Заголовок добавлен ботом --> |access-date=2014-09-30 |archive-date=2014-09-29 |archive-url=https://web.archive.org/web/20140929014557/http://blog.sucuri.net/2014/09/bash-vulnerability-shell-shock-thousands-of-cpanel-sites-are-high-risk.html |url-status=live }}</ref>.

=== Атака на SSH-сервер ===
SSH-сервер [[OpenSSH]] позволяет ограничивать пользователя фиксированным набором доступных команд (опция «ForceCommand»). Фиксированная команда исполняется даже если пользователь запросил исполнение иной команды. Запрошенная команда в этом случае сохраняется в переменной среды «SSH_ORIGINAL_COMMAND». Если фиксированная команда исполняется в интерпретаторе Bash shell (если пользовательский интерпретатор установлен в Bash), GNU Bash обнаружит заложенные в среду значения SSH_ORIGINAL_COMMAND при запуске, и, в случае уязвимости перед Bashdoor, исполнит встроенные туда команды. Таким образом атакующий с доступом лишь к ограниченной оболочке получает неограниченный доступ<ref name="qualys">{{cite web|url=https://community.qualys.com/blogs/laws-of-vulnerabilities/2014/09/24/bash-shellshock-vulnerability|title=The Laws of Vulnerabilities|publisher=|accessdate=2014-09-26|archiveurl=https://web.archive.org/web/20141006110149/https://community.qualys.com/blogs/laws-of-vulnerabilities/2014/09/24/bash-shellshock-vulnerability|archivedate=2014-10-06|url-status=dead}}</ref>.

=== Атака на DHCP-клиент ===
[[DHCP]]-клиент обычно запрашивает IP адрес у DHCP-сервера. Однако сервер может послать несколько дополнительных опций, которые могут записываться в переменные среды и приводить к эксплуатации ошибки Shellshock на компьютере или ноутбуке, подключаемом к локальной сети<ref>[https://www.trustedsec.com/september-2014/shellshock-dhcp-rce-proof-concept/ «Shellshock DHCP RCE Proof of Concept»] {{Wayback|url=https://www.trustedsec.com/september-2014/shellshock-dhcp-rce-proof-concept/ |date=20140925212349 }}, Geoff Walton, TrustedSec</ref><ref>{{cite news|url=http://xakep.ru/shellshock-dhcp/|title=Эксплоит Shellshock для DHCP-сервера|date=2014-09-26|publisher=Xakep.ru|accessdate=2014-09-30|archivedate=2014-09-29|archiveurl=https://web.archive.org/web/20140929051336/http://xakep.ru/shellshock-dhcp}}</ref>.

=== Повышение привилегий через setuid программы ===
Программа с установленным битом [[setuid]] может вызывать bash непосредственно, либо косвенно при использовании системных вызовов [http://linux.die.net/man/3/system system(3)], popen и других, не сбрасывая при этом переменные окружения. Атака Shellshock в таких случаях позволит локальному пользователю повысить собственные привилегии до владельца подобной setuid программы, часто вплоть до [[root]] (суперпользователя).

=== Уязвимость офлайн-систем ===
Ошибка потенциально может достичь систем, не подключённых к сети Интернет, во время офлайн-обработки с помощью bash<ref>[https://www.dfranke.us/posts/2014-09-27-shell-shock-exploitation-vectors.html «Collection of various attacks»] {{Wayback|url=https://www.dfranke.us/posts/2014-09-27-shell-shock-exploitation-vectors.html |date=20140927193828 }}, Daniel Fox Franke, Akamai</ref>.

== Примечания ==
{{примечания|2}}

== Ссылки ==
{{Commons category|Shellshock}}
* [http://nvd.nist.gov/home.cfm NIST National Vulnerability Database] {{Wayback|url=http://nvd.nist.gov/home.cfm |date=20110925095556 }} & [http://cve.mitre.org CVE Common Vulnerabilities and Exposures]
** '''CVE-2014-6271''' — [https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6271 20140924nist] & [https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-6271 20140909cve] ('''''first bug''''')
** '''CVE-2014-6277''' — [https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6277 20140927nist] & [https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-6277 20140909cve] (under review)
** '''CVE-2014-6278''' — [https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6278 XXXXXXXXnist] & [https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-6278 20140909cve] (under review)
** '''CVE-2014-7169''' — [https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-7169 20140924nist] & [https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-7169 20140924cve] ('''''second bug''''')
** '''CVE-2014-7186''' — [https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-7186 XXXXXXXXnist] & [https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-7186 20140925cve] (under review)
** '''CVE-2014-7187''' — [https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-7187 XXXXXXXXnist] & [https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-7187 20140925cve] (under review)
* [http://ftp.gnu.org/gnu/bash/ Исходники Bash] от проекта GNU, включая патчи
* [http://www.3dnews.ru/902506 Интернет снова под угрозой: в командной оболочке Bash обнаружена масштабная уязвимость] // 3dnews, 26.09.2014
* [http://www.ferra.ru/ru/techlife/news/2014/09/25/Bash-Shellshock/ Уязвимость в Bash для OS X и Linux позволяет хакерам захватить контроль над системой] // Ferra.ru, 25.09.2014
* [http://tjournal.ru/paper/bash-bug Баг в командной оболочке Bash позволял хакерам годами контролировать компьютеры на Linux и Mac OS] // TJournal, 25.09.2014
* [http://blog.kaspersky.ru/what_is_the_bash_vulnerability/ Уязвимость Bash: почему это касается всех] // Brian Donohue, 26 Сентябрь 2014
* [http://roem.ru/2014/09/26/finale108213/ Уязвимости bash оказались подвержены даже F5 Big-IP] // Roem, 2014-09-26
* [http://xakep.ru/shellshock/ Уязвимость ShellShock опаснее, чем Heartbleed] // Xakep, 2014-09-25
* [http://threatpost.ru/2014/09/26/zakryt-uyazvimost-bash-v-asu-i-scada-budet-neprosto/ ЗАКРЫТЬ УЯЗВИМОСТЬ BASH В АСУ И SCADA БУДЕТ НЕПРОСТО] {{Wayback|url=http://threatpost.ru/2014/09/26/zakryt-uyazvimost-bash-v-asu-i-scada-budet-neprosto/ |date=20141022001508 }} // Threat Post, 2014-09-26
* [https://web.archive.org/web/20141125024446/http://www.cnews.ru/news/top/index.shtml?2014%2F09%2F25%2F587002 В Linux и Unix найдена масштабная многолетняя «дыра»] // Cnews, 2014-09-25
{{Хакерские атаки 2010-х}}

[[Категория:Ошибки программирования]]
[[Категория:Уязвимости защиты]]
[[Категория:Информационная безопасность]]