Ein Test in der Kommanozeile verrät dem IT-Verantwortlichen, ob ein System vor der Shellshock-Sicherheitslücke sicher ist oder – wie hier – gepatcht werden muss.
Robert Graham
Eine schwerwiegende Sicherheitslücke erregt Aufsehen und soll Hunderte Millionen Computer weltweit betreffen: Shellshock, ein Fehler in der Unix-Shell Bash, ermöglicht es Angreifern, beliebigen Code auszuführen.
Nach dem jüngsten Coup russischer Hacker, die Millionen Login-Daten erbeuteten, müssen sich IT-Abteilungen schon mit dem nächsten Sicherheitsvorfall herumschlagen: Shellshock ist eine Sicherheitslücke in der Unix-Shell Bash, die zahlreiche Rechner unter Unix, Linux und Max OS X betrifft, darunter auch viele Webserver. Weltweit könnten mehrere Hundert Millionen Rechner betroffen sein, schätzen Sicherheitsexperten und ziehen aufgrund der Tragweite des Bugs Vergleiche mit dem im April bekannt gewordenen Heartbleed-Bug, einer Lücke in OpenSSL Das Kuriose: Die Shellshock-Lücke existiert schon seit 1989 in Bash, wurde aber erst Ende September 2014 bekannt.
Weitere Artikel zum Thema |
Die Sicherheitsfirma Aura Information Security meldet, dass Angreifer bereits gezielt nach ungepatchten Servern mit dem Shellshock-Bug scannen. Vor allem Webserver, die CGI-Skripte einsetzen, sind anfällig für die Angriffsmethode, aber auch Appliances und viele Geräte des Internet of Things, die Linux einsetzen und häufig nicht geupdatet werden, warnt der Sicherheitsexperte Robert Graham.
Einfacher Sicherheitscheck für Shellshock-Lücke
Ein Angreifer könnte auf einem System über eine Umgebungsvariable beliebigen Programmcode ausführen, weil der Code durch einen Fehler sofort ungeprüft ausgeführt wird. Experten befürchten, Kriminelle könnten einen Wurm schreiben, der selbstständig nach angreifbaren Systemen und Geräten sucht und sich über diese verbreitet.
Um herauszufinden, ob ein Rechner von der Shellshock-Lücke betroffen ist, können Administratoren folgenden Befehl in der Bash eingeben:
$ env x='() { :;}; echo shellshock' bash -c "echo dies ist ein test"
Zeigt die Kommandozeile den Begriff „shellshock“ und darunter „ dies ist ein test“ an, ist das System unsicher und sollte gepatcht werden. Andernfalls bekommt der Administrator eine Fehlermeldung angezeigt oder sieht nichts.
Apple stellt bereits Updates für Mac OS X 10.7 Lion und Lion Server, 10.8 Mountain Lion und 10.9 Mavericks bereit. Auch Red Hat hat mehrere Patches für Linux veröffentlicht, nachdem Sicherheitsexperten zwischenzeitlich noch weitere Lücken entdeckt hatten.