ShellShock : la vulnérabilité encore plus effrayante que la faille Heartbleed !

Bash

ShellShock va rapidement devenir votre nouveau cauchemar et celui des experts. Il s'agit d'une vulnérabilité que l'on trouve dans les systèmes informatiques que nous utilisons tous les jours.

Cette vulnérabilité touche l’interpréteur de commande Bash (« Bourne again shell ») présent dans plusieurs systèmes Linux dont les serveurs web, mais aussi des systèmes d’exploitation comme Mac OS X et les objets connectés.

Le CERT américain a publié un bulletin d’alerte avec le plus haut niveau de gravité (10 sur leur échelle) soit au même niveau que Heartbleed. Pire encore : la faille est loin d’être nouvelle. Elle touche les premières versions de Bash qui ont vu le jour au début des années 90, soit il y a 22 ans.

Pour tout savoir de Heartbleed, c’est ici.

Les spécialistes sécurité de Red Hat ont donné des éléments techniques sur les risques de ShellShock. L’interpréteur de commandes Bash lit et exécute des valeurs d’environnement de certaines applications. En somme il serait possible de modifier ces variables d’environnement avec du code malicieux :

« [Les applications qui utilisent Bash] sont plus nombreuses que l’on ne croit. Par exemple, quand vous recevez un mail, le service de messagerie fait des recherches pour savoir s’il s’agit d’un spam. Pour cela, le moteur va regarder les barrières d’environnements que l’interprétateur va lui fournir. Or si les variables ont été modifiées, le message compromis contournera les blocages », déplore Paul-Henri Huckel.

Apparemment, le patch est relativement simple à mettre en place et les correctifs sont en cours de déploiement. Le problème est que la surface d’attaque est plus grande que celle de la faille Heartbleed, notamment car elle englobe les objets connectés.

Manifestement, selon les experts, cette faille a d’ores et déjà été exploitée. Reste à voir quels dégâts cela a pu faire !

Tags :
Dernières Questions sur UberGizmo Help
  1. tellement flippant que c’est déjà corrigé… Par contre pas sur que ça soit si répendu que ça un accès à Bash, les objects connectés n’ont pas bash mais un équivalent allégé (Bash c’est enorme, busybox par ex c’est mieux). Et pis pour l’exemple de l’antispam, tomber sur un bash faut vraiment avoir de la chance (et il tournera surement pas en user root).

    1. Non mais là où ça devient fun. C’est sur le client dhcp lui par exemple à par définition un accès relativemebt bas niveau au système.

      C’est tres tres drôle de passer les paramètres dans les réponses du serveur 😀

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

Publicité