Vulnérabilité critique sur Bash : (CVE-2014-6271 / Shellshock)

Une nouvelle vulnérabilité critique CVE-2014-6271 a été publiée le 24/09 par Stéphane Chazelas dans le célèbre shell linux Bash. Cette dernière a été surnommée Shellshock et permet d’injecter des commandes systèmes à distance.

Cet Interprète de commande est présent sur la grande majorité des distributions Linux et est le composant sous-jacent d’une large majorité de programme, notamment des programmes CGI beaucoup utilisés par les applications WEB. C’est pourquoi, bien souvent, il est possible d’éxécuter des commandes a distance ce qui est sûrement pour beaucoup responsable du score maximum dans la notation de l’impact et exploitabilité de la vulnérabilité.

GNU Bash jusqu’à sa version 4.3, traite les chaînes de caractères suivant une définition de fonctions dans les variables d’environnement.

Ainsi, si la ligne de code suivante (lancée localement sur votre serveur) affiche « VULN« , cela indique que votre version de bash est impactée par la vulnérabilitée.

$ env var='() { ignore this;}; echo VULN’ bash -c /bin/true  

Cela ne veut pas pour autant dire que cette vulnérabilité est exploitable. En effet, pour pouvoir être exploitée à distance, il faut qu’un vecteur d’attaque permettant de faire le lien entre les données malicieuses envoyées par l’utilisateur et l’instance de bash. Un environnement de scripts CGI(mod_cgi, fastcgi) est le vecteur plus couramment rencontré.

Si un serveur donné est vulnérable, il faut désormais tester s’il est exploitable. Pour ce faire, on peut par exemple lancer la commande suivante à partir d’un système connecté à Internet:

$ curl -A « () { :; }; echo VULN » {URL}

Si la réponse du serveur contient « VULN » alors la réponse du serveur contiendra VULN.

En revanche, l’absence de ce message ne signifie pas une absence de VULN. Il n’y a pas de moyen infaillible (sans faux-négatifs) de détecter la présence de cette vulnérabilité. Néanmoins, en utilisant un pingback comme payload envoyé au serveur, on a, dans la grande majorité des cibles vulnérables, une réponse positive.

Ci-dessous, on peut voir la connexion TCP de notre cible de test vers un serveur internet nous appartenant. Le payload injecté est affiché ci-dessous:

telnet 8888

Shellshock Pingback TCP proof-of-concept

Enfin, il existe des solutions près à l’emploi, pour tester la vulnérabilité du site à partir d’un serveur internet. Elles offrent un confort d’utilisation mais n’ont finalement que peu de valeur ajoutée par rapport au test précédent. Aussi, elles seront surtout réservées à ceux qui sont vraiment allergiques à la ligne de commande.

La plateforme de test paraissant la plus sérieuse est accessible à l’adresse suivante https://shellshocker.net/.

Le premier patch publié n’a pas permis de combler complètement la vulnérabilité ce qui a conduit a une nouvelle vulnérabilité. Parallèlement, de nombreuses autres vulnérabilités similaires ont été découvertes dans la lancée:

CVE-2014-6277
CVE-2014-6278
CVE-2014-7169
CVE-2014-7186
CVE-2014-7187

Ces vulnérabilités ont été regroupées de manière non-officielle sous le nom d’AfterShock.

Depuis, des patchs de meilleure facture sont apparus pour la plupart des distributions Linux et corrigent efficacement cette possibilité d’injecter des commandes systèmes.

Voici quelques informations pour corriger cette vulnérabilité :

• Distributions basés sur apt-get (Ubuntu, Debian, …):   # apt-get install --only-upgrade bash

• Equippement/Machine ayant la possibilité de recompiler les sources et basé sur une distribution Linux sans gestionnaire de paquet ou ne bénéficiant pas encore d’un patch : https://shellshocker.net/fixbash (le script va récupérer automatiquement les sources de bash 0 https://ftp.gnu.org/gnu/bash/bash-4.3.tar.gz et appliquer l’ensemble des patchs de sécurité https://ftp.gnu.org/gnu/bash/bash-4.3-patches/ ).

• Equippement/Machine dans le même cas que ci-dessus mais n’ayant pas la possibilité de recompiler les sources : PAS DE SOLUTION

• Juniper:
  • Produits vulnérables devant appliqués les patchs de Juniper (corrigeant pour le moment uniquement CVE-2014-6271)  http://www.juniper.net/support/downloads/ :
    • Junos Space
    • JSA Series (STRM)
    • NSM Appliances (NSM3000 and NSMExpress)

• • Produits utilisant bash mais non-vulnérables:

• • • SSL VPN
    • UAC
    • CTPView
    • QFabric
    • DDOS Secure
    • JWAS
    • vGW
    • SRC
    • Junos Pulse Endpoint Profiler

• • Produits non concernés :
    • Junos OS
    • ScreenOS
    • JunosE
    • ADC
    • SRX-IDP
    • ISG-IDP
    • WX
    • MFC

• Cisco
  • Produits vulnérables devant suivre les recommandations Cisco http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20140926-bash :

Network Application, Service, and Acceleration