Sicherheitslücke in der BASH

[Jakobus]

Siehe hier: http://www.spiegel.de/netzwelt/web/...-bedroht-linux-rechner-und-macs-a-993688.html

Auf einem aktualisiertem LinuxMint17 bzw Ubuntu 14.04 ist der Bug gefixt, also Safe!

Die Betonung liegt aber bei aktualisiert!

 

[physiker91]

Auf Debian (inkl. Squeeze-LTS), Fedora und RHEL/CentOS sind auch gefixte Pakete rausgegeben worden.

 

[caputo]

Der Fix scheint auch nicht ganz sicher zu sein: http://www.heise.de/newsticker/meld...hock-ist-noch-nicht-ausgestanden-2403607.html

 

[linrunner]

heise schreibt, dass die Lücke seit 25 Jahren existiert. Also kein Grund in Hektik auszubrechen ...

 

[caputo]

heise schreibt, dass die Lücke seit 25 Jahren existiert. Also kein Grund in Hektik auszubrechen ...

Um mal Heise zu zitieren:

Mittlerweile gibt es ein Metasploit-Modul, um Schadcode mit Root-Rechten aus einer virtuellen Maschine in VMware Fusion heraus auf Mac OS auszuführen und mit einem weiteren kann man verwundbare Systeme im Netz aufspüren. Außerdem sollein DDoS-Botnetz die Lücke bereits ausnutzen.

...ist die Sicherheitslücke für betroffene Systeme doch gravierend, da der Angreifer sofort die volle Kontrolle über den Server an sich reißen kann. Graham warnt deshalb davor, dass die Lücke ausgenutzt werden könnte, um einen Wurm zu schreiben, der von Server zu Server springt. Er will bereits Angreifer ausgemacht haben, die sein Portscanner-Tool Masscan einsetzen, um Schadcode an betroffene Rechner zu verteilen.

Aber klar, is völlig harmlos, kann man gemütlich angehen....

 

[SammysHP]

Ich mach mir auch keine Gedanken darüber. Die Sicherheitslücke betrifft hier wohl nur einen winzigen Teil der Nutzer (wie viele der Nutzer hier betreiben einen eigenen Server?) und selbst dann kann man die Lücke nur in ganz bestimmten Situationen ausnutzen.

 

[caputo]

Ich mach mir auch keine Gedanken darüber. Die Sicherheitslücke betrifft hier wohl nur einen winzigen Teil der Nutzer (wie viele der Nutzer hier betreiben einen eigenen Server?) und selbst dann kann man die Lücke nur in ganz bestimmten Situationen ausnutzen.

Dann hast Du den Exploit nicht verstanden. Alles, bei dem bash involviert ist, kann für dem Angriff verwendet werden. Ein Beispiel ist z.B. DHCP (als Client!).
Siehe z.B. hier: http://arstechnica.com/security/201...bility-grows-as-exploit-reported-in-the-wild/

 

[Akira]

Siehe hier: http://www.spiegel.de/netzwelt/web/...-bedroht-linux-rechner-und-macs-a-993688.html

Auf einem aktualisiertem LinuxMint17 bzw Ubuntu 14.04 ist der Bug gefixt, also Safe!

Die Betonung liegt aber bei aktualisiert!

Danke für den Hinweis, hab grade mal die neuesten Updates runtergeladen und jetzt ist mein Ubuntu laut Test auch sicher.

 

[martina]

Dann hast Du den Exploit nicht verstanden. Alles, bei dem bash involviert ist, kann für dem Angriff verwendet werden. Ein Beispiel ist z.B. DHCP (als Client!).
Siehe z.B. hier: http://arstechnica.com/security/201...bility-grows-as-exploit-reported-in-the-wild/

Ganz so einfach ist es nicht. Es wird erst gefährlich, wenn auf irgendeinem System von außen ein Service angesprochen werden kann, der einen entsprechend präparierten bash Aufruf auslöst.
"once the worm gets behind a firewall and runs a hostile DHCP server"

 

[caputo]

Danke für den Hinweis, hab grade mal die neuesten Updates runtergeladen und jetzt ist mein Ubuntu laut Test auch sicher.

Dein Ubuntu ist nicht sicher. Der Bug ist durch den Fix nicht wirklich gefixt, mit ein paar Anpassungen lässt sich wohl immer noch Schadcode ausführen, siehe mein Heise-Link oben.

 

[Akira]

Dein Ubuntu ist nicht sicher. Der Bug ist durch den Fix nicht wirklich gefixt, mit ein paar Anpassungen lässt sich wohl immer noch Schadcode ausführen, siehe mein Heise-Link oben.

Na gut dann halt nicht, aber nachdem ich bisher immer Win 7 ohne Updates genutzt habe ist das für mich nicht weiter tragisch.

 

[caputo]

Ganz so einfach ist es nicht. Es wird erst gefährlich, wenn auf irgendeinem System von außen ein Service angesprochen werden kann, der einen entsprechend präparierten bash Aufruf auslöst.
"once the worm gets behind a firewall and runs a hostile DHCP server"

Ähm, ja. Es ist wohl schon ein ziemlicher Unterschied, ob ich nur anfällig bin, wenn ich einen Webserver mit CGI betreibe, oder ob mir schon ein präparierter DHCP-Server Schadcode unterjubeln kann.

 

[caputo]

Na gut dann halt nicht, aber nachdem ich bisher immer Win 7 ohne Updates genutzt habe ist das für mich nicht weiter tragisch.

Das nennt sich dann wohl bareback computing.

 

[supertux]

Das nennt sich dann wohl bareback computing.

Nein, das nennt sich leider viel zu oft traurige Realität
Ich hab schon Rechner gesehen auf denen 100€ teure Antivirensoftware installiert war, aber Windows-Updates seit 2 Jahren deaktiviert waren, weil man sich ja angeblich mal über ein Update einen Virus gezogen hat :facepalm:inch::cursing:
Solche Warnmeldungen verunsichern mich aber mittlerweile kaum noch, die beruhigen mich eher, da das bedeutet, das in Kürze ein brauchbarer Patch verfügbar sein wird, der die Lücke schließt

 

[mrehm]

opensuse13.1 ist ebenfall safe nach zypper up, wenn ich der KonsolenAusgabe trauen kann

martin@linux-bmae:~> env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
bash: Warnung: x: ignoring function definition attempt
bash: Fehler beim Importieren der Funktionsdefinition für `x'.
this is a test

Gruss
Martin

 

[fabio]

opensuse13.1 ist ebenfall safe nach zypper up, wenn ich der KonsolenAusgabe trauen kann
...
Gruss
Martin

Nein. In Post #3 steht, dass auch dieser Patch nicht alle Lücken schließt.

 

[linrunner]

Hier eine leicht verständliche Erklärung wie das ganze funktioniert: http://fedoramagazine.org/shellshock-how-does-it-actually-work/ (vom Fedora Projektleiter)

 

[oezix]

anscheinend schliesst der neue Patch unter Debian die Lücke

 

[kangundkodos]

Ich bräuchte ein update, laut dem Test ist mein System verwundbar. Wie kann ich ein update auslösen?

 

[GFBGFB]

Kommt drauf an welche Linux Distribution du hast.
Hier ne kurze Liste:
jeweils immer als root ausführen.
Debian/Ubuntu:

apt-get update && apt-get upgrade

Fedora:

yum update

Arch Linux:

pacman -Syu