{"id":7278,"date":"2014-09-30T13:00:02","date_gmt":"2014-09-30T11:00:02","guid":{"rendered":"http:\/\/www.palentino.es\/blog\/?p=7278"},"modified":"2014-09-30T22:41:18","modified_gmt":"2014-09-30T20:41:18","slug":"el-devastador-agujero-de-seguridad-shellshock","status":"publish","type":"post","link":"https:\/\/www.palentino.es\/blog\/el-devastador-agujero-de-seguridad-shellshock\/","title":{"rendered":"El devastador agujero de seguridad ShellShock."},"content":{"rendered":"

Si recientemente hemos padecido, uno de los mayores agujeros de seguridad existentes, conocido como Heartbleed o Coraz\u00f3n sangrante<\/strong>, la cara que se nos puede quedar al ser conscientes de la nueva vulnerabilidad descubierta hace unos dias, puede ser similar a\u00a0la del soldado situado en la fotograf\u00eda inferior izquierda.<\/p>\n

 <\/p>\n

\"Shellshock-Logotipo-extraido\"<\/a><\/p>\n

 <\/p>\n

Tirando un poco de historia el\u00a0nombre de ShellShock<\/strong> proviene la reacci\u00f3n de tuvieron algunos soldados de la primera guerra mundial a los traumas ocasionados en la batalla, a las duras im\u00e1genes y sensaciones que percibieron\u00a0 durante el combate. Soldado y rostro incapaz de razonar, caminar, hablar, paralizado del horror.<\/p>\n

<\/p>\n

Y aunque este agujero de seguridad no tenga tan poderosos efectos marketing como el logo del coraz\u00f3n sangrante<\/strong> (ver imagen del anexo inferior), ya de entrada les sugiero al menos uno como este, \u00a0para simplificar en otras publicaciones relacionadas, ya que una imagen vale m\u00e1s que mil palabras:<\/p>\n

\"Shellshock-Logotipo\"<\/a><\/p>\n

 <\/p>\n

S\u00ed, esos ojos perdidos reflejan claramente el estado an\u00edmico que puede tener un administrador de sistemas al conocer la noticia publicada el 24 de septiembre de este a\u00f1o<\/strong>.<\/p>\n

Shellshock es el nombre tambi\u00e9n de un agujero de seguridad que puede afectar seg\u00fan estad\u00edsticas de netcraft al 60% de los servidores existentes en\u00a0Internet, unos 500 millones de ordenadores.<\/strong><\/p>\n

Seg\u00fan la CVE 2014-6271 del NIST,<\/strong> es decir la \u201cCom\u00fan lista de vulnerabilidades y exposiciones\u201d, con n\u00fameros de referencia \u00fanicos, este fallo de seguridad ha sido clasificado de 10<\/strong>, es decir el m\u00e1s alto.<\/p>\n

http:\/\/web.nvd.nist.gov\/view\/vuln\/detail?vulnId=CVE-2014-6271<\/a><\/p>\n

Debido a esto, un atacante de forma local o remota puede ejecutar c\u00f3digo de forma arbitraria salt\u00e1ndose la seguridad preestablecida. Todo ello, gracias a un fallo que ha existido desde hace 20 a\u00f1os en el Shell Bash, presente en distribuciones Linux, BSD, Mac OS.<\/strong><\/p>\n

Afecta a las versiones Bash no parcheadas desde la 1.14 hasta la 4.3<\/strong>.
\nEste bug funciona mediante inyecci\u00f3n de \u00f3rdenes o mandatos<\/strong>, y puede ser invocado mediante llamadas a cgis de forma remota<\/strong> y sin necesidad de realiza autenticaci\u00f3n<\/strong>. Por lo tanto es necesario actualizar mediante fix<\/strong> los sistemas que tenemos para evitar posibles problemas de seguridad.<\/p>\n

Para actualizar es preciso, desde diversas distros o versiones:<\/p>\n

Ubuntu\/Debian:\u00a0<\/strong>
\nMediante el comando apt-get
\nsudo apt-get update && sudo apt-get install –only-upgrade bash<\/em><\/p>\n

Si estas ejecutando una version de Ubunto\/Debian que ha sido considerada como sin Soporte, tendras que actualizar mediante commando: sudo do-release-upgrade<\/p>\n

CentOs\/Red Hat\/Fedora:<\/strong>
\nMediante el comando:
\nsudo yum update bash<\/em><\/p>\n

Otros sistemas como Mac OS<\/strong>\u00a0mediante la actualizaci\u00f3n oportuna.<\/p>\n

\n

 <\/p>\n

\u00bfC\u00f3mo saber si tengo la vulnerabilidad – Prueba de concepto (PoC)?<\/strong><\/p>\n

Si estas ejecutando un sistema que tiene por Shell o interprete de comandos Bash, es necesario ejecutar:<\/p>\n

env 'VAR=() { :;}; echo Bash es vulnerable!' 'FUNCTION()=() { :;}; echo Bash es vulnerable!' bash -c \"echo Bash Test\"<\/pre>\n
env ‘VAR=() { :;}; echo Bash es vulnerable!<\/span>‘ ‘FUNCTION()=() { :;}; echo Bash es vulnerable!<\/span>‘ bash -c “echo Bash Test”<\/strong><\/p>\n
Si al finalizar la ejecuci\u00f3n apreciamos un:
\nBash es vulnerable<\/span>
\n Bash Test<\/span><\/p>\n
Nuestro sistema necesita ser actualizado.<\/strong><\/p>\n
En esta entrada no explicar\u00e9 los pasos necesarios para hacer una prueba de ataque, puesto que lo que pretendo es que actualic\u00e9is los sistemas cuanto antes. Pero el ataque puede ser efectuado de forma sencilla, y ya existen v\u00eddeos pululando por youtube<\/strong> para efectuar\u00a0sin \u201cmuchos conocimientos t\u00e9cnicos\u201d dichas acciones.<\/p>\n
Cuando he comentado que el bug funciona bajo inyecci\u00f3n, se puede apreciar en las porciones de c\u00f3digo que he resaltado de otro color. Un atacante remoto podr\u00eda ejecutar su c\u00f3digo reemplazando el comando echo por una funci\u00f3n que \u00e9l defina.<\/p>\n
Existe tambi\u00e9n una utilidad remota que permite testear websites que son vulnerables:
\nhttp:\/\/shellshock.brandonpotter.com\/<\/a><\/p>\n
Simplemente es necesario introducir la URL del sitio web o script CGI y enviarla.<\/p>\n
El peligro de este ataque con escala total de privilegios en el sistema<\/strong> puede desencadenar una oleada de virus o gusanos tipo script<\/strong> que infecten a Internet en poco tiempo, provocando grandes p\u00e9rdidas econ\u00f3micas y de disponibilidad para todos.<\/p>\n
Aviso<\/strong>: Con una simples l\u00edneas remotas mediante por ejemplo cUrl<\/strong> podr\u00edamos comprometer la seguridad de un sistema remoto extremadamente r\u00e1pido.<\/p>\n
Adem\u00e1s , el ataque parece m\u00e1s sencillo<\/strong> de efectuar que heartbleed, por contra no se ha dado tanta publicidad<\/strong> y el problema principal que vaticino, es que en muchos sistemas la actualizaci\u00f3n no va a ser tan r\u00e1pida<\/strong>. Otro aspecto a tener en cuenta son las posibles forks o ramificaciones que tenga este bug<\/strong>, que impidan tapar este fallo.<\/p>\n
Me llama la poderosamente la atenci\u00f3n que empresas de hosting\/housing con alquiler de servidores dedicados, no hayan reaccionado avisando al menos a los administradores de\u00a0los posibles problemas y de las t\u00e9nicas necesarias para realizar las actualizaciones oportunas. Es preciso recordar que muchos administradores con menos conocimientos manejan m\u00e1quinas con paneles como el Cpanel, Plesk ,etc, y sera preciso comprar el alcance de dichas actualizaciones para no comprometer las aplicaciones en producci\u00f3n.<\/p>\n
Actuemos.<\/p>\n
Al Cesar lo que es del Cesar. El descubridor de este fallo es Stephane Chazelas<\/strong>, un desarrollador de software de c\u00f3digo abierto que vive en Gran Breta\u00f1a.<\/p>\n
Anexo logo HeartBleed:<\/strong><\/p>\n
\"heartbleed\"<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"
Si recientemente hemos padecido, uno de los mayores agujeros de seguridad existentes, conocido como Heartbleed o Coraz\u00f3n sangrante, la cara que se nos puede quedar al ser conscientes de la nueva vulnerabilidad descubierta hace unos dias, puede ser similar a\u00a0la del soldado situado en la fotograf\u00eda inferior izquierda.     Tirando un poco de historia el\u00a0nombre de ShellShock proviene la reacci\u00f3n de tuvieron algunos soldados de la primera guerra mundial a los traumas ocasionados en la batalla, a las duras im\u00e1genes y sensaciones que percibieron\u00a0 durante el combate. Soldado y rostro incapaz de razonar, caminar, hablar, paralizado del horror.<\/p>\n","protected":false},"author":1,"featured_media":7279,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[50,209,7,438],"tags":[673,668],"class_list":["post-7278","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-seguridad","category-sistemas","category-software","category-sysadmin-2","tag-informatica","tag-seguridad"],"_links":{"self":[{"href":"https:\/\/www.palentino.es\/blog\/wp-json\/wp\/v2\/posts\/7278","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.palentino.es\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.palentino.es\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.palentino.es\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.palentino.es\/blog\/wp-json\/wp\/v2\/comments?post=7278"}],"version-history":[{"count":16,"href":"https:\/\/www.palentino.es\/blog\/wp-json\/wp\/v2\/posts\/7278\/revisions"}],"predecessor-version":[{"id":7296,"href":"https:\/\/www.palentino.es\/blog\/wp-json\/wp\/v2\/posts\/7278\/revisions\/7296"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.palentino.es\/blog\/wp-json\/wp\/v2\/media\/7279"}],"wp:attachment":[{"href":"https:\/\/www.palentino.es\/blog\/wp-json\/wp\/v2\/media?parent=7278"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.palentino.es\/blog\/wp-json\/wp\/v2\/categories?post=7278"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.palentino.es\/blog\/wp-json\/wp\/v2\/tags?post=7278"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}