Körülbelül fél éve vált ismertté a Heartbleed bug, ami eléggé meglepte a szakmát. Nem sűrűn találnak ilyen súlyos biztonsági rést, de úgy néz ki, hogy az idei évben nem ez volt az utolsó botrány.

Bash (Bourne Again SHell)

A Heartbleed bug után most egy újabb biztonsági rés borzolja a kedélyeket, ami a Bash héjat érinti. A Bash (Bourne Again SHell) a Unix operációs rendszerek fontos összetevője, így a különböző Linux disztribúciók mellett a Mac OS X-ben is megtalálható, sőt, számos beágyazott Linux operációs rendszer is használja, amelyek routereken, NAS-okon, webkamerákon, illetve egyéb, internetre kapcsolt eszközökön futnak. Mivel a Bash igen elterjedt, így sebezhetősége meglehetősen nagy problémát jelent – az pedig külön aggodalomra ad okot, hogy a nyílt forráskódú szoftver sebezhetősége az elmúlt 25 évben megjelent minden verziót érinti. Maga a Bash egy eleve nyílt forráskódú szoftver, amelynek fő célja a GNU operációs rendszer héjának fejlesztése volt, így ez a Linux kernelt használó rendszerek alapértelmezett héjának tekinthető.

A biztonsági rés neve: Shellshock

A ShellShock névre keresztelt biztonsági rést a Red Hat szakemberei vették észre, és figyelmeztették is a felhasználókat, illetve a szerverüzemeltetőket, hogy frissítsék a Bash-t, ha van rá lehetőség. Magát a biztonsági rést egyébként nagyon egyszerűen ki lehet használni. A szakemberek elmondása szerint speciális környezeti változókat kell létrehozni a Bash shell meghívása előtt. Az teljesen mindegy, hogy ezeket a környezeti változókat hogyan nevezik el, a lényeg az, hogy mit tartalmaznak. Megfelelő tartalom esetén a kód lefut – így a távoli támadó fontos adatokhoz juthat hozzá, valamint módosíthatja is őket. Ez már önmagában is baj, de ennél is nagyobb probléma, hogy ha a Bash-hez hozzáférő szoftver – amelyek között elég sokféle lehet – nem készít naplót, akkor sosem derül ki, hogy támadás érhette a rendszert.

A probléma súlyosságát remekül jellemzi, hogy a National Vulnerability Database a 10-es skálán maximális, azaz 10-es fokozatba sorolta, mivel nagyon széles kört érint, plusz nagyon egyszerű belőle profitálni – egyes szakemberek szerint már egy egyszerű kód kivágásával és beillesztésével is jó eredményeket érhet el a támadó.

Biztonságtechnikai szakemberek szerint a biztonsági résben rejlő potenciál kiaknázásának majdhogynem nincs határa, ráadásul a támadás automatizálható is. Emiatt egyes szakértők már most amiatt aggódnak, hogy a ShellShock-ot kihasználva akár egy féreg is elkezdhet terjedni, még mielőtt sikerül az érintett rendszereken befoltozni a rést.

Mielőbb be kell foltozni a rést

Noha a patch alkalmazása a legtöbb esetben egyszerű, még csak a különböző szolgáltatások leállítását sem igényli, illetve a legtöbb érintett rendszerhez érkezik frissítés is, azért nem minden területen ilyen rózsás a helyzet.

Rengeteg olyan internetre csatlakozó eszköz van, amelyekhez nem érkezik majd frissítés – vagy azért, mert az adott eszköz gyártója egyszerűen nem készít, vagy azért, mert a termékhez már nincs megfelelő támogatás. Ezek az eszközök sebezhetőek maradnak. Az érintett eszközök között hálózati adattárolók, médialejátszók, IP kamerák, médialejátszók, routerek, switchek, illetve egyéb olyan eszközök is találhatóak, amelyek Bash héjat alkalmazó beágyazott Linux operációs rendszert futtatnak.

A Linux vagy OS X operációs rendszert futtató számítógépeknél szükség van patchre a biztonsági rés javításához, a Windows operációs rendszerek ebből a szempontból nincsenek veszélyben.