Bash Unix/Linux : une faille critique identifiée

Sécurité : Une faille critique dans le populaire environnement console Bash affecte les systèmes Linux et Unix. Elle permet d’exécuter des attaques à distances contre des serveurs Web. Des correctifs sont disponibles.

Le « bash » ou « Bourne Again Shell » est l’environnement console par défaut sous Linux et Unix, dont Mac OS X. Une faille dans ce composant représente donc un risque sérieux de sécurité pour les utilisateurs de ces systèmes.

Or un chercheur, Stephane Chazelas, vient justement d’identifier une vulnérabilité dans Bash, une faille qui selon plusieurs experts en sécurité pourrait présenter un risque supérieur à celui de Heartbleed, affectant les bibliothèques OpenSSL.

Plus dangereuse que Heartbleed 

La vulnérabilité dans l’interpréteur de commandes réside dans la manière dont Bash interprète des variables. Un attaquant pourrait ainsi grâce à des variables spécifiques exploiter cette faille logicielle pour exécuter des commandes shell.

Pourtant, en théorie, pour réaliser une telle attaque, le pirate devrait en principe déjà disposer d’un accès au système vulnérable. Toutefois, l’équipe sécurité de Red Hat précise que « certains services et applications autorisent des attaquants distants non-authentifiés à fournir des variables d’environnement, leur permettant d’exploiter ce problème ».

Par conséquent, si une application appelle une commande shell Bash via un script HTTP ou CGI (Common-Gateway Interface) d’une façon autorisant l’utilisateur à insérer des données, le serveur Web est vulnérable à une attaque.

Ainsi, selon Andy Ellis, le directeur de la sécurité informatique d’Akamai Technologies, la vulnérabilité de Bash affecte potentiellement un grand nombre d’applications. Un risque encore accru lorsque les applications appellent des scripts en mode root ou super-utilisateur.

Une vulnérabilité déjà exploitée 

Lexsi, qui qualifie la faille de « Shellshock », assure même que celle-ci « s’exploite de manière triviale avec seulement 3 petites lignes de code ». Présente « depuis plus de 20 ans », cette vulnérabilité a déjà été exploitée, a constaté le cabinet de sécurité.

Pour prévenir des attaques, il est préférable de contrôler les entrées (inputs) sur les applications Web et de désactiver les scripts CGI faisait un appel sur le shell. Akamai recommande par ailleurs de basculer sur un autre interpréteur que Bash. Cependant, tous n’utilisent pas la même syntaxe et des fonctions similaires. Des applications pourraient donc rencontrer des problèmes de fonctionnement.

Enfin, il est indispensable de télécharger les correctifs mis à disposition. Les développeurs de Bash ont ainsi patché les versions 3.0 à 4.3. Du côté des distributions, Red Hat et Debian proposent des patchs sous formes de packages. Les autres éditeurs concernés devraient leur emboiter le pas.

source : http://www.zdnet.fr/actualites/bash-unix-linux-une-faille-critique-identifiee-39806881.htm