В командной оболочке Bash найдена серьёзная уязвимость [обновлено]

Исследователь компании Akamai Стефан Чазелас обнаружил в командной оболочке Bash Unix-систем значительную уязвимость, которая по масштабам не уступает, а скорее превосходит ранее открытую в этом году уязвимость Heartbleed. Из-за неё под угрозой оказываются операционные системы Linux и OS X, маршрутизаторы, устаревшие устройства категории «Интернет вещей». Уязвимость получила название Shellshock; самое опасное в ней то, что уязвимость существует уже на протяжении многих лет.

Оболочкой Bash оснащены многие дистрибутивы Linux, на основе которых работают веб-сервера, сервисы и устройства, в том числе и Mac OS X Mavericks. Специалисты уже обнаружили свидетельства использования Shellshock злоумышленниками. Так, один из эксплоитов устанавливает DoS-бот, который пытается подобрать пароли к серверам с использованием словарного списка.

Среди дистрибутивов, которые получили закрывающие уязвимость обновления, значатся Red Hat, Fedora, CentOS, Ubuntu и Debian. Однако эксперты уверены, что уязвимость продолжит существовать ещё не один год, поскольку присутствует на множестве старых устройств и систем, число которых в глобальной сети не поддаётся подсчёту. Если в случае с Heartbleed через два месяца после её обнаружения в сети оставались сотни тысяч систем, не получивших обновления, то с Shellshock дела будут обстоять ещё хуже.

К счастью, специалисты полагают, что большинство затронутых систем не станут уязвимы для удалённого доступа, и для использования Shellshock требуется сочетание ряда факторов - для каждого приложения или устройства перечень этих факторов может различаться. Большинство современных веб-сайтов и гаджетов также не будут затронуты.

Добавлено 29 сентября: в командной оболочке Bash была обнаружена ещё одна уязвимость, допускающая удалённое выполнение кода. С первой она не связана, однако во многом напоминает её простотой использования. Обновление, закрывающее первоначальную уязвимость CVE-2014-6271, не защищает против новой (CVE-2014-6277 и CVE-2014-6278).