In der Bash wurden kürzlich fünf Schwachstelle binnen weniger Tage gefunden (CVE-2014-6271,CVE-2014-6277,CVE-2014-7169,CVE-2014-7186,CVE-2014-7187). Sie haben unter anderem zur Folge, dass ein Angreifer Befehle mit höheren Rechten ausführen kann. Das Problem tritt beim Verarbeiten von Umgebungsvariablen auf. Umgebungsvariablen kommen bei zahlreichen Anwendungen ständig zum Einsatz, weshalb die Schwachstelle auch so kritisch ist.
Beispielsweise lassen sich die Umgebungsvariable COLOR und NAME wie folgt definieren und verwenden:
COLOR=blue
NAME=John
echo “$NAME’s favorite color is $COLOR”
Werden diese Befehle in der Bash ausgeführt erscheit der Text:
»John’s favorite color is blue«
Umgebungsvariablen lassen sich aber auch noch kompakter verwenden:
»env COLOR=red bash -c ‘echo My favorite color is $COLOR’«
Diese Zeile liefert dann folgenden Text:
»My favorite color is red«
Der »env« Befehl setzt hierbei die Umgebungsvariable COLOR. Das Sicherheitslücke in der Bash besteht nun darin, dass beim Verarbeiten von Umgebungsvariablen mit
»env« ein Fehler auftreten kann, so dass auf betroffenen Systemen die Anweisung
»env COLOR='() { :;}; echo vulnerable’ bash -c “echo I hate colors”«
den Text
vulnerable
I hate colors
liefert. Das seltsame hierbei ist, dass die echo Anweisung gar nicht auf die
COLOR Umgebungsvarbiable zugreift und trotzdem der vulnerable String ausgegeben
wurde. Auf korrigierten oder nicht anfälligen Systemem würde die obige
Anweisung lediglich
»I hate colors«
ausspucken.
Da die Bash auch bei vielen Webdiensten für dynamische Inhaltet zum Einsatz kommt, kann diese Schwachstelle auch von entfernten Angreifern ausgenutzt werden. Sehr
häufig wird die Bash dazu verwendet andere Programme aufzurufen. Parameter für die anderen Programme werden dabei oft als Umgebungsvariablen weitergegeben und genau darin liegt die Brisanz der nun gefunden Sicherheitslücke.
Die Attacke ist sehr einfach auszunutzen und betrifft praktisch alle derzeit verwendeten Systeme. Botnets, welche basierende auf dieser Schwachstelle
konstruiert wurden, kommen aktuell für verteilte Denial-of-Service-Attacken zum Einsatz.
Betroffen von der Schwachstelle scheinen alle Versionen bis 4.3 zu sein. Das heißt, diese Sicherheitslücke reicht bis zu 25 Jahre zurück.
Verwandte Artikel
Zoom Node: Angreifer können Schadcode ausführen
Zoom Node ist eine von Unternehmen betriebene Serverkomponente, mit der sich Zoom-Workloads wie Meetings und Videoanrufe in der eigenen Infrastruktur hosten und steuern lassen. Genau diese Zoom-Node-Serve sind von einer gravierenden Sicherheitslücke betroffen, über die Angreifer Schadcode auf...
Kritische FortiSIEM-Lücke: verfügbar, Updates dringend einspielen
FortiSIEM ist eine SIEM-Plattform von Fortinet zur zentralen Erfassung, Korrelation und Auswertung von Sicherheitsereignissen in IT-Umgebungen. Fortinet hat Updates veröffentlicht, darunter einen Fix für eine kritische Schwachstelle. Inzwischen ist ein Proof-of-Concept-Exploit öffentlich...
VLC-Schwachstellen korrigiert
Das VideoLAN-Projekt hat die Versionen 3.0.22 und 3.0.23 des VLC Players bereitgestellt, um mehrere Schwachstellen in der Medienverarbeitung zu beheben. Die Updates adressieren Fehler, die beim Einlesen verschiedener Formate und Container – darunter MP4, Ogg, ASF sowie diverse Untertitel-Module...
Plex Media Server: Zugriff für Angreifer
Der Plex Media Server ist eine Software, mit der Nutzer ihre eigenen Filme, Serien, Musik und Fotos zentral verwalten und auf unterschiedliche Geräte wie Smart-TVs, Smartphones oder Streaming-Boxen streamen können. Obwohl die Entwickler im August eine kritische Authentifizierungslücke im...
MongoBleed-Attacke gegen MongoDB
MongoDB ist eine weitverbreitete Open-Source-NoSQL-Datenbank, die vor allem für die Verarbeitung großer, unstrukturierter Datenmengen eingesetzt wird. Eine kürzlich bekannt gewordene Sicherheitslücke in der Software lässt sich mit geringem Aufwand ausnutzen und ermöglicht den Zugriff auf...
Fehler in Apache Commons Text
In der Bibliothek Apache Commons Text ist eine Sicherheitslücke identifiziert worden. Sie ermöglicht es Angreifern, aus der Ferne Schadcode nachzuladen und unmittelbar auszuführen. Obwohl bereits seit geraumer Zeit ein entsprechendes Sicherheitsupdate verfügbar ist, wird die betroffene...
