Sämre än hjärtsjukdom? Möt ShellShock En ny säkerhetsrisk för OS X och Linux

Ett allvarligt säkerhetsproblem med Bash-skalet - en viktig del av både de flesta UNIX-liknande operativsystemen - har upptäckts, med betydande konsekvenser för datasäkerhet över hela världen.

Problemet är närvarande i alla versioner av Bashs skriptspråk upp till version 4.3, vilket påverkar en majoritet av Linux-maskiner och hela datorer som kör OS X. Och kan se att en angripare utnyttjar problemet för att starta sin egen kod.

Nyfiken om hur det fungerar och hur man skyddar dig själv? Läs vidare för mer information.

Vad är Bash?

Bash (står för Bourne Again Shell) är standard kommandorad tolk som används på de flesta Linux- och BSD-distributioner, förutom OS X. Den används som en metod för att starta program, använda systemverktyg och interagera med det underliggande operativsystemet genom att starta kommandon.

Dessutom tillåter Bash (och de flesta Unix-skal) att skripta UNIX-funktioner i små skript. På samma sätt som de flesta programmeringsspråk - som Python, JavaScript och CoffeeScript CoffeeScript, är JavaScript utan huvudvärk CoffeeScript är JavaScript utan huvudvärk. Jag har aldrig velat skriva JavaScript så mycket. Från den dagen jag skrev min första raden med det, har jag alltid ångrat att det jag skriver i det alltid slutar se ut som en Jackson ... Läs mer - Bash stöder funktioner som är gemensamma med de flesta programmeringsspråk, som funktioner, variabler och omfattning.

Bash är nära allestädes närvarande, med många som använder termen "Bash" för att referera till alla kommandoradsgränssnitt, oavsett om de faktiskt använder Bash-skalet. Och om du någonsin har installerat WordPress eller Ghost via kommandoraden Signed Up för SSH-only Web Hosting? Oroa dig inte - Installera enkelt vilken webbprogramvara som registrerats för SSH-bara webbhotell? Oroa dig inte - enkelt installera någon webbprogramvara Vet inte det första med operativsystemet Linux genom sin kraftfulla kommandorad? Oroa dig inte mer. Läs mer, eller tunnelvis din webbtrafik genom SSH. Hur man tunnlar webbtrafik med SSH Secure Shell. Hur man tunnlar webbtrafik med SSH Secure Shell Läs mer. Du har kanske använt Bash.

Det är överallt. Vilket gör att denna sårbarhet är allt mer oroande.

Dissecting Attack

Sårbarheten - upptäckt av franska säkerhetsforskaren Stéphane Chazleas - har orsakat stor panik i Linux- och Mac-användare över hela världen, samt uppmärksammat i teknikpressen. Och med god anledning också, eftersom Shellshock potentiellt kan se angripare få tillgång till privilegierade system och genomföra sin egen skadliga kod. Det är otäckt.

Men hur fungerar det? På den lägsta möjliga nivån utnyttjar den hur miljövariabler fungerar. Dessa används både av UNIX-liknande system och Windows Vad är miljövariabler och hur kan jag använda dem? [Windows] Vad är miljövariabler och hur kan jag använda dem? [Windows] Jag kommer då och då att lära mig lite tips som får mig att tänka "ja, om jag visste att för ett år sedan skulle det ha sparat mig timmar". Jag minns levande hur jag läser ... Läs mer för att lagra värden som krävs för att datorn ska fungera korrekt. Dessa är tillgängliga globalt över hela systemet och kan antingen lagra ett enda värde - till exempel platsen för en mapp eller ett nummer - eller en funktion.

Funktioner är ett koncept som finns i mjukvaruutveckling. Men vad gör de? Enkelt uttryckt bunter de en uppsättning instruktioner (representerade av kodrubriker), som senare kan utföras av antingen ett annat program eller en användare.

Problemet med Bash-tolken ligger i hur det hanterar lagring av funktioner som miljövariabler. I Bash är koden som finns i funktioner lagrad mellan ett par krökta hängslen. Om en angripare lämnar någon Bash-kod utanför den krökta spärren, kommer den dock att utföras av systemet. Detta gör att systemet är öppet för en familj av attacker som kallas kodinjektionsattacker.

Forskare har redan hittat potentiella angreppsvektorer genom att utnyttja hur mjukvara som Apache-webbservern Hur man konfigurerar en Apache-webbserver i tre enkla steg Så här konfigurerar du en Apache-webbserver i tre enkla steg Oavsett orsaken kan du hos vissa punkt vill få en webbserver att gå. Oavsett om du vill ge dig själv fjärråtkomst till vissa sidor eller tjänster, vill du få ett samhälle ... Läs mer och vanliga UNIX-verktyg som WGET Mastering Wget & Learning Några snyggt nedladdande tricks Mastering Wget & Learning Några snyggt nedladdande tricks Ibland är det bara inte tillräckligt för att spara en webbplats lokalt från din webbläsare. Ibland behöver du lite mer kraft. För detta finns det ett snyggt litet kommandoradsverktyg som kallas Wget. Wget är ... Läs mer interaktion med skal och använd miljövariabler.

Det bash-felet är dåligt (https://t.co/60kPlziiVv) Få ett omvänd skal på en utsatt webbplats http://t.co/7JDCvZVU3S av @ortegaalfredo

- Chris Williams (@diodesign) 24 september 2014

CVE-2014-6271: wget -U "() test;; / usr / bin / touch / tmp / VULNERABLE" myserver / cgi-bin / test

- Hernan Ochoa (@hernano) 24 september 2014

Hur testar du för det?

Nyfiken att se om ditt system är sårbart? Det är enkelt att ta reda på det. Öppna bara en terminal och skriv:

env x = "() :;; eko sårbart" bash -c "eko detta är ett test”

Om ditt system är sårbart kommer det då att matas ut:

sårbart Detta är ett test

Medan ett opåverkat system kommer att mata ut:

env x = "() :;; eko sårbar" bash -c "eko detta är ett test" bash: varning: x: ignorerar funktionsdefinition försök bash: fel importerar funktionsdefinition för 'x' detta är ett test

Hur fixar du det?

Vid tidpunkten för offentliggörandet borde buggen - som upptäcktes den 24 september 2014 - ha blivit fixad och patchad. Du behöver helt enkelt uppdatera ditt system. Medan Ubuntu och Ubuntu-varianter använder Dash som huvudskal, används Bash fortfarande för vissa systemfunktioner. Som ett resultat är det bra att du uppdaterar den. För att göra det, skriv:

sudo apt-få uppdatering sudo apt-get uppgradering

På Fedora och andra Red Hat-varianter, skriv:

sudo yum uppdatering

Apple har ännu inte släppt en säkerhetsfix för detta, men om de gör det kommer de att släppa det via appbutiken. Se till att du regelbundet letar efter säkerhetsuppdateringar.

Chromebooks - som använder Linux som grund och kan köra de flesta distros utan mycket krångel Hur man installerar Linux på en Chromebook Så här installerar du Linux på en Chromebook Behöver du Skype på din Chromebook? Missar du inte att ha tillgång till spel via Steam? Tycker du att använda VLC Media Player? Börja sedan använda Linux på din Chromebook. Läs mer - använd Bash för vissa systemfunktioner och Dash som huvudskal. Google bör borde uppdatera under säsong.

Vad ska du göra om din distro inte har fast bot än

Om din distro ännu inte släpper ut en fix för Bash, kanske du vill överväga att ändra distributioner eller installera ett annat skal.

Jag skulle rekommendera nybörjare kolla Fish Shell. Detta kommer med ett antal funktioner som för närvarande inte är tillgängliga i Bash och gör det ännu trevligare att arbeta med Linux. Dessa inkluderar autosuggestions, livfulla VGA-färger och möjligheten att konfigurera det från ett webbgränssnitt.

Fellow MakeUseOf författare Andrew Bolster rekommenderar också att du kolla in zSH, som kommer med en snabb integration med Git-versionens kontrollsystem, samt autofullständig.

@matthewhughes zsh, för bättre autofullständig och git-integration

- Andrew Bolster (@Bolster) 25 september 2014

Den skrämmaste Linux-sårbarheten än?

Skallskall har redan vapenats. Inom en dag av sårbarheten som avslöjades för världen hade den redan använts i naturen för att kompromissa system. Mer oroande är det inte bara hemanvändare och företag som är sårbara. Säkerhetsexperter förutspår att buggen också kommer att lämna militära och statliga system i fara. Det är nästan lika mardrömmigt som Heartbleed var.

Helig ko finns det många .mil och .gov webbplatser som kommer att ägas av CVE-2014-6271.

- Kenn White (@kennwhite) 24 september 2014

Så snälla. Uppdatera dina system, okej? Låt mig veta hur du går vidare och dina tankar om den här delen. Kommentarer rutan är nedan.

Fotokredit: zanaca (IMG_3772.JPG)

Utforska mer om: Online-säkerhet.