ShellShock (CVE-2014-6271) Tespit etmek

09:01 Unknown 0 Comments

Bilişim uzmanları tarafından base score 10/10 şeklinde değerlendirilen bash zafiyeti aslında yıllardır bulunuyor. Tehlikesi hedef sistemi bir bot olarak kullanabilmek. Eminim bir çok saldırgan şuanda icraata geçmiş ve kendi botnet ağlarını kurmaya başlamışlardır bile.

MAC ve Linux ağırlıklı bir çok sistemde bulunan bu zafiyetin kaç sunucuda ve sistemde bulunduğu uzmanlar tarafından henüz tespit edilemiyor, hatta tespit etmenin imkansız olduğunu söylüyorlar. Zafiyetin tespitine bakacak olursak, aşağıdaki kodu yazdığınız durumunda (root yetkisine gerek yok);

env bugdeneme='() { :;}; echo zafiyet' bash -c "echo merhaba"

çıktısı şu şekildeyse;

zafiyet

merhaba

sisteminizde shellshock zafiyeti bulunmaktadır. Eğer aşağıdaki çıktıya alıyorsanız;

bash: warning: bugdeneme: ignoring function definition attempt

bash: error importing function definition for `bugdeneme'

merhaba

sisteminiz ya güncellenmiştir yada zafiyet bulunmamaktadır.

Yapmanız gereken sisteminizi güncellemek ve yükseltmek. Aşağıdaki komutları bash üzerinden girerek sisteminizdeki zafiyeti giderebilirsiniz.

sudo apt-get update sudo apt-get upgrade

CentOS için aşağıdaki komut ile güncelleme işlemini yapabilirsiniz;

yum update bash

Tekil kullanıcılar için ciddi bir sorun olmayabilir, sonuçta sistemleri her zaman dışarı açık değil. Fakat sunucu sahiplerinin kesinlikle (ama kesinlikle) önlem almaları gerekecektir. Aradan 10 sene geçse dahi hala bu zafiyeti barındıran binlerce sistem olacağına eminim. :)

Kendi sunucunuz üzerinde (uzak bir sunucu da olabilir) zafiyeti tespit etmek istiyorsanız: http://shellshock.info/ yada http://milankragujevic.com/projects/shellshock/ adresleri üzerinden tespit işlemini gerçekleştirebilirsiniz.

Zafiyet detayları hk. (nvd); http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-7169

Ayrıca TurkSec ekibi olayın hemen ardından zafiyetin bulunduğu sistemleri tespit edebilen küçük bir yazılım kodlamışlar. Ona da buradan ulaşabilirsiniz: http://diaryofinjector.blogspot.com.tr/2014/09/shellshock-detector-scanner.html