Star InactiveStar InactiveStar InactiveStar InactiveStar Inactive
 

Populiariame "Bash" komandinės eilutės interpretatoriuje aptikta kritinė saugumo spraga (CVE-2014-6271).  Esant tam tikroms sąlygoms, pašalinis asmuo serveryje gali įvykdyti išorines komandas ar pasikeisti savo vartotojų privilegijų lygį ir apeiti sistemos saugumo nuostatas.

Problema susijusi su kintamųjų turinio apdorojimo klaida, kuri simbolių seką "() {" interpretuoja, kaip funkciją. Todėl jei kintamojo turinyje bus tokia seka, "Bash" interpretatorius bandys įvykdyti toliau esantį turinį, kaip komandą. Pavyzdžiui, "VAR=() { ignored; }; cat /etc/shadow". Ši spraga aktuali visiems aplinkos kintamiesiems, kuriuos interpretuos komandinis interpretatorius. 

Nors daugelis operacinių sistemų gamintojų jau išleido atnaujintus "Bash" paketus, kuriuose ši klaida buvo ištaisyta, tačiau vos jiems pasirodžius, paaiškėjo, jog pataisą vėl galima apeiti. "Reddit" diskusijose yra nuoroda į "RedHat Bugzilla" puslapį, kur nurodoma, jog pataisa nevisiškai išsprendžia problemą. Tiesa, jau yra pateikiama ir nauja pataisa, tačiau gali prireikti keleto valandų, kol operacinių sistemų autoriai ją įtrauks į savo programinės įrangos paketus ir juos pateiks vartotojams.

Anot vieno kompiuterinio saugumo specialisto, paprastas internetinių sistemų skenavimo scenarijus atskleidė, jog tūkstančiai interneto serverių gali būti pažeidžiami šios spragos.

Komentuoti


Apsaugos kodas
Atnaujinti