Shellshock sacode a internet
Parece sensacionalismo mas não é. Uma falha descoberta no Bash, popular shell usado no Unix, Linux e OSX, permite ataques contra servidores web ou outros serviços. E pode ser usada para criar um worm.
A falha apelidada de Shellshock (CVE-2014-6271 e CVE-2014-7169) foi descoberta pelo francês Stéphane Chazelas e é possível que exista desde 1989 sem ser percebida. Ela permite executar comandos shell remotamente no servidor a partir de uma simples requisição web especialmente formatada. Outros serviços como DHCP também podem estar vulneráveis, no que está sendo chamado de bashpocalypse. Já detectamos scans ativos na internet à procura de servidores vulneráveis.
Além do risco a servidores Unix e Linux, há o risco de sistemas embarcados que usem versões vulneráveis do Bash, e que podem não ser fáceis de atualizar. Quer testar se o seus sistemas estão vulneráveis? Execute o comando abaixo.
env x=”() { :;} ; echo Vulnerável” /bin/sh -c “echo concluído”
Se ele apresentar a saída Vulnerável, seu shell padrão é uma versão do Bash com a falha e você deve fazer o update imediatamente. As principais distribuições Linux já liberaram correção, mas ela cobre inicialmente apenas o CVE-2014-6271. Até o momento deste post, não há fix oficial para o OSX, embora seja possível recompilar o Bash manualmente. (update em 30/09: a Apple disponibilizou o fix para várias versões do OSX. O mesmo pode ser baixado diretamente do site de downloads)
Servidores Windows estão a salvo, a menos que usem ferramentas portadas do *nix, tais como o Cygwin.
Tem um Web Application Firewall? Então você pode configurar regras para bloquear requisições que tentem explorar a vulnerabilidade.
Reforçando: este bug é potencialmente muito mais grave que o Heartbleed, pela disseminação e facilidade de exploração, e demanda patch imediato dos servidores.
