باگ امنیتی خطرناک در Bash؛ Shellshock سیستم های لینوکس و مک را تهدید می کند
به گزارش یک تیم امنیتی در Red Hat یک باگ امنیتی خطرناک در Bash پیدا شده که می تواند تبدیل به مصیبتی برای شرکت های فناوری، هاستینگ و حتی تمامی ابزارهای متصل به اینترنت شود. ...
در دیجیاتو ثبت‌نام کنید
جهت بهره‌مندی و دسترسی به امکانات ویژه و بخش‌های مختلف در دیجیاتو عضو ویژه دیجیاتو شوید.
عضویت در دیجیاتوتازههای تکنولوژی
به گزارش یک تیم امنیتی در Red Hat یک باگ امنیتی خطرناک در Bash پیدا شده که می تواند تبدیل به مصیبتی برای شرکت های فناوری، هاستینگ و حتی تمامی ابزارهای متصل به اینترنت شود.
این باگ با نام Shellshock یا Bash Bug معرفی شده و شناخته می شود. در سایت ملی مرکز داده آسیب های امنیتی دولت آمریکا درجه خطر آن را ۱۰ از ۱۰ تخمین زده شده است.
این باگ به حمله کننده اجازه می دهد با کمک یک کد تقریبا هر کاری که از طریق خط فرمان ممکن است انجام دهد. در واقع این باگ، مثل یک در پشتی همواره برای حمله کننده باز خواهد ماند. رد هت و فدورا در حال حاضر پچ های امنیتی برای رفع مشکل عرضه کرده اند.
باگ مربوطه کامپیوترهای مبتنی بر OS X را نیز تحت تاثیر قرار می دهد. اگر کاربر مک هستید می توانید برای اینکه ببینید دچار مشکل هستید و اینکه چگونه می توانید مشکل را رفع کنید به اینجا مراجعه کنید.
رابرت گراهام از تیم امنیتی Errata در توئیتر خود نوشته که: باگ بَش احتمالا از خونریزی قلبی نیز بزرگتر خواهد بود. این قیاس نشان می دهد که خطرات این ایراد امنیتی در بش تا چه حد می تواند در میان مدت و کوتاه مدت هم مشکل ساز شود.
واژه Bash مخفف عبارت Bourne Again Shell و یک پوسته برای خط فرمان یا Command Line است. این پوسته اجازه می دهد کاربران بتوانند دستورات خود را برای اجرای برنامه ها و همینطور انجام کارها در نرم افزارهای مختلف از طریق تایپ کدها در کامپیوترهای مبتنی بر یونیکس اعمال کنند. Bash به طور معمول توسط برنامه نویسان و متخصصان مورد استفاده قرار می گیرد.
مثل هر کاربر لینوکس که از طریق هر کامپیوتری به Bash دسترسی دارند، کاربران OS X می توانند به این پوسته از طریق اپلیکیشن Terminal دسترسی داشته باشند. لینوکس و مک هر دو بر پایه یونیکس هستند و بخش های بسیاری در این دو سیستم عامل مشترک است. به همین دلیل هر دو این سیستم عامل ها در صورت استفاده از بش می توانند در برابر این مشکل آسیب پذیر باشند.
به روز رسانی: تیم امنیتی شرکت بیان که پیش از این در ماجرای باگ خون ریزی قبلی، توانایی های خود را نشان داده بود، اکنون در مورد Shellshock نیز مطلبی را بر روی وبلاگ این شرکت منتشر نموده است. در صورتی که تمایل دارید در مورد این حفره امنیتی اطلاعات دقیق تری را به دست آورید، می توانید به وبلاگ بیان مراجعه کنید.
دیدگاه‌ها و نظرات خود را بنویسید
برای گفتگو با کاربران ثبت نام کنید یا وارد حساب کاربری خود شوید.
سلام دوستان
یکی از مزایای اپن سورس یک عالمه توسعه دهنده و اصلاح کننده رایگانه که تو همه جای دنیا هستن و حالا خبر رسیده که اوبونتو فدورا اپن سوزه و دبیان و مشتق های دبیان یک آپدیت واسه رفعش گرفتن ! یعنی رفع باگ در یک روز ! ولی سیستم هایی که آپدیت نشن مثل هلو هک میشن :)
اوبونتویی ها ! این رو تو ترمینال وارد کنید تا آپدیت انجام بشه
sudo apt-get update && sudo apt-get upgrade
من که درستش کردم. مکی‌ها اینو بزنید تو ترمینال بترتیب
$ mkdir bash-fix
$ cd bash-fix
$ curl https://opensource.apple.com/tarballs/bash/bash-92.tar.gz | tar zxf -
$ cd bash-92/bash-3.2
$ curl https://ftp.gnu.org/pub/gnu/bash/bash-3.2-patches/bash32-052 | patch -p0
$ cd ..
$ xcodebuild
$ sudo cp /bin/bash /bin/bash.old
$ sudo cp /bin/sh /bin/sh.old
$ build/Release/bash --version # GNU bash, version 3.2.52(1)-release
$ build/Release/sh --version # GNU bash, version 3.2.52(1)-release
$ sudo cp build/Release/bash /bin
$ sudo cp build/Release/sh /bin
$ sudo chmod a-x /bin/bash.old /bin/sh.old
دفعه‌ی اولی که از sudo استفاده می‌کنید پسوردتون رو می‌زنید ولی نشون داده نمی‌شه دیگه بقیش نمیخواد. $ ها رو هم نزنید.
من محتویات فایل /etc/passwd سیستم خودم رو برای حک کردن سریع و آسان می فرستم فقط به خاطر این که جواب این سوالم رو بگیرم! این باگ چ اشکالی می تونه به هم بزنه!
root:x:0:0:root:/root:/usr/bin/zsh
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
sys:x:3:3:sys:/dev:/usr/sbin/nologin
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/usr/sbin/nologin
وقتی کاربرای سایت من نمی تونند فایلی به غیر از عکس و تصویر ارسال کنند. اگر فرض کنیم فایل ارسال کنند اجازه اجرا ندارند! اگر هم اجازه اجرا داشته باشند با کاربری غیز ار root سیستم اجرا می شه (در صورتی که cgi در وب سرور هم بسته است) چطور می شه کنترل ی سیستمم رو به عهده بگیرند!
تمام مواردی که اشاره کردم به صورت پیش فرض در سیستم بسته هستند.
مثل این می مونه که بگیم اگه کسی توی خیابون با خودش تیربار داشته باشه انسان خیلی خطرناکیه!
گنو/لینوکس یکی از بهترین سیستم عاملهاست.
میخاستم آخرین توزیع اوبونتو رو نصب کنم :(
فقط رد هت و فدورا در خطرن؟
اوبونتو چطور؟
هرچی که هسته لینوکس داشته باشه و شل sh آپدیت نشده باشه در خطره!
ممنون
ولی من هنوز نصب نکردم و اوبونتو 14.4 هستش.مگه موقع نصب کردن اخرین آپدیت ها رو نمیگیره؟
دوست من موقع نصب نت رو قطع کن چون سرعت بالا نیاز داره
بعد از نصب آپدیت کن
ممنون دوست عزیز