! Zware beveiligingsfout linux: bash

Er werd een zeer zwaar beveiligingslek ontdekt in bash, die standaard in zowat alle Linux distributies zit.

Deze hack wordt geclassiffiseerd alszijnde 10 op het vlak van gevaar en 10 op het vlak van eenvoudig te gebruiken.
Hierdoor heeft hij een hogere classificatie dan de Heartbleed bug die eerder werd ontdekt.

Draai je een server, update bash dan meteen!

Hoe test je of je kwetsbaar bent?
Draai in terminal volgend commando:

env x=’() { :;}; echo vulnerable’ bash -c “echo this is a test”

Er is een grote kans dat de code dan gewoon het commando uitvoert in plaats van een fout geeft.

Hoe update je je centOS server?

yum update bash

Hoe update je je debian, Ubuntu, redhat server?

apt-get upgrade bash

Hoe update je je Mac computer server?

Wacht op apple om dit te repareren... Installeer de update meteen zodra hij beschikbaar is.

Bash wordt voor verschillende applicaties gebruikt en veel programma's draaien het in de achtergrond. Het lek ontstaat doordat een aanvaller een kwaadaardig bestand aan een omgevingsvariabele kan toevoegen dat wordt uitgevoerd zodra de shell wordt aangeroepen.

Bij eerste testen was op dit moment maar 1 op 50 servers niet kwetsbaar!

Update: zelfs de laatste versie is niet veilig!

Voorbeeld code van de exploit:

[root@server home]# ls -l datetest
ls: cannot access datetest: No such file or directory
=> dit bestand bestaat niet


[root@server home]# env -i  X='() { (a)=>\' bash -c 'datetest'
bash: X: line 1: syntax error near unexpected token `='
bash: X: line 1: `'
bash: error importing function definition for `X'
=> Je krijgt netjes een foutmelding, maar...


[root@server home]# ls -l datetest
-rw-r--r-- 1 root root 0 Sep 25 13:51 datetest
=> Nu bestaat dit bestand opeens wel.

Je kan dus zelfs met de laatste versie nog steeds gehackt worden.
Het laat ook toe om dit bestand uit te voeren nadien.
Alle deuren staan open...

Ondanks dit, raden we je aan toch de laatste update te installeren en elke dag te kijken of er geen nieuwe versie van bash beschikbaar is. Indien beschikbaar: meteen updaten.
Update alles, van je servers, tot je nas, tot je routers, tot ...
Alles op linux!

Update 2:

Er is nu een nieuwe update beschikbaar voor bash.
Update je servers nogmaals!

Update 3:
En de serie gaat verder.
Ook de 2de beveiligingsupdate is niet volledig veilig.

Een extra kwetsbaarheid werd ontdekt door de Japanse beveiligingsonderzoeker Norihiro Tanaka.

Een aanvaller kan van een normaal Linux-commando, zoals 'cat' voor het
uitlezen van bestanden, een environment-variabele maken en daar code in
verstoppen.
Nadien kan deze dan in elke gevallen worden uitgevoerd.

Met dank aan @Superior voor het melden van dit nieuws.

Opgelet: de test werkte bij mij niet op alle servers. Mogelijk is het geen perfecte test.

Desondanks raad ik toch aan om je bash te updaten!

Update: zelfs de laatste versie is niet veilig!

Voorbeeld code van de exploit:

[root@server home]# ls -l datetest
ls: cannot access datetest: No such file or directory
=> dit bestand bestaat niet


[root@server home]# env -i  X='() { (a)=>\' bash -c 'datetest'
bash: X: line 1: syntax error near unexpected token `='
bash: X: line 1: `'
bash: error importing function definition for `X'
=> Je krijgt netjes een foutmelding, maar...


[root@server home]# ls -l datetest
-rw-r--r-- 1 root root 0 Sep 25 13:51 datetest
=> Nu bestaat dit bestand opeens wel.

Je kan dus zelfs met de laatste versie nog steeds gehackt worden.
Het laat ook toe om dit bestand uit te voeren nadien.
Alle deuren staan open...

Ondanks dit, raden we je aan toch de laatste update te installeren en elke dag
te kijken of er geen nieuwe versie van bash beschikbaar is. Indien
beschikbaar: meteen updaten.
Update alles, van je servers, tot je nas, tot je routers, tot ...
Alles op linux!

Update 2:

Er is nu een nieuwe update beschikbaar voor bash.
Update je servers nogmaals!
Voor zover bekend lost dit alle beveiligingsproblemen op.

Bedankt @pekelterror.
Ik zit al weer even niet meer op deze distributies.
Goed dat je me dit laat weten. Ik heb de beginpost aangepast.

En de serie gaat verder.
Ook de 2de beveiligingsupdate is niet volledig veilig.

Een extra kwetsbaarheid werd ontdekt door de Japanse beveiligingsonderzoeker Norihiro Tanaka.
Een aanvaller kan van een normaal Linux-commando, zoals 'cat' voor het uitlezen van bestanden, een environment-variabele maken en daar code in verstoppen.
Nadien kan deze dan in elke gevallen worden uitgevoerd.

Met dank aan @Superior voor het melden van dit nieuws.