Quiero saber sobre "Error de Shellshock" y, por lo tanto, me gustaría hacer algunas preguntas:
Gracias, por adelantado.
En primer lugar, Shellshock es una familia de vulnerabilidades, no solo una ( CVE-2014-6271. CVE-2014-6277, CVE-2014-6278, CVE-2014-7169, CVE-2014-7186, y CVE-2014-718 )
-Afecta a los sistemas Unix y Unix. De Semantics
La vulnerabilidad afecta a Bash, un componente común conocido como shell Eso aparece en muchas versiones de Linux y Unix. Bash actúa como un intérprete de lenguaje de mando. En otras palabras, permite al usuario escriba comandos en una simple ventana basada en texto, que el operador el sistema se ejecutará.
Bash también se puede usar para ejecutar comandos que le pasan las aplicaciones y Es esta característica a la que afecta la vulnerabilidad
1) si está utilizando una versión vulnerable de bash (componente del sistema operativo que toma sus comandos y los pasa al Kernel y devuelve el resultado) Entonces, usted es vulnerable
2) podría permitir a un atacante obtener el control de una computadora específica si se explota con éxito.
3)
Shellshock podría comprometer potencialmente millones de servidores no parcheados y otros sistemas. En consecuencia, se ha comparado con el Heartbleed error en su severidad
El problema Shellshock es un ejemplo de una ejecución de código arbitrario (ACE) vulnerabilidad. Normalmente, se ejecutan los ataques de vulnerabilidad de ACE. en los programas que se ejecutan, y requieren un alto nivel de sofisticación comprensión de los aspectos internos de la ejecución del código, diseño de memoria y lenguaje ensamblador: en resumen, este tipo de ataque requiere un experto. El atacante también utilizará una vulnerabilidad de ACE para cargar o ejecutar un programa Eso les da una forma sencilla de controlar la máquina de destino. Esta A menudo se logra ejecutando un "shell". Un shell es una línea de comando donde los comandos pueden ser ingresados y ejecutados.
4)
La vulnerabilidad radica en el hecho de que un atacante puede atacar código malicioso a la variable de entorno, que se ejecutará una vez que el se recibe la variable.
Más leído: enlace
Lea otras preguntas en las etiquetas shellshock