ShellShock: Amenaza, Protección y un nuevo Parche

Esta semana la amenaza fue para todos los profesionales que trabajan en linux, lamentablemente ShellShock, afecta todas las plataformas que prácticamente tienen un gran porcentaje de la web alojada en sus servidores, ya que terceros podrían potencialmente tomar control a distancia de casi cualquier computadora o sistema que use Bash, así que esta falla de seguridad puede afectar a usuarios individuales pero también a gobiernos, bancos y autoridades militares, que pueden estar utilizando servidores de internet que operan con el sistema Linux.

Alan Woodward, investigador de seguridad” La puerta está abierta de par en par”

Según los expertos en seguridad, llevar a cabo ataques cibernéticos aprovechando esta vulnerabilidad es muy simple, por eso esta falla es particularmente preocupante: los criminales podrían obtener resultados rápidos explotando una falla de baja complejidad, y es muy posible que no solo criminales hayan aprovechado esta falla de seguridad durante años, si no también entidades de seguridad a nivel mundial.

La vulnerabilidad Shellshock está dentro de un componente de software llamado Bash, un acrónimo de Bourne-Again Shell. Bash es un programa informático que interpreta órdenes y forma parte de la plataforma Unix, sobre la que otros sistemas operativos están construidos, como Linux y el de Apple, Mac OS.

Desafortunadamente no hay una solución rápida y efectiva para protegerse. En general, la responsabilidad de protección recae sobre los administradores de servidores y los administradores de sistemas informáticos, que tendrán que actualizar sus sistemas con los parches de seguridad adecuados.

Chet Ramey, un arquitecto de TI en la Universidad Case Western Reserve y encargado de mantener el código para GNU bash,  dijo a The New York Times que él cree que los problemas en el código de fiesta se introdujeron en el Código en 1992-mucho antes de bash se encontró en gran parte de la infraestructura de servidores de Internet. Y porque hay tantos sistemas que utilizan fiesta que se esté ejecutando sin supervisión o rara vez se mantiene, Shellshock podría seguir siendo una preocupación durante mucho, mucho tiempo.

Las revisiones iniciales a fiesta se apresuraron a cabo por las comunidades de distribución de Linux el miércoles, dos semanas después de Stephane Schazelas informó la vulnerabilidad a Ramey. Pero por la tarde del miércoles, otro investigador había determinado la solución no era completa. Tavis Ormandy, ingeniero de seguridad de información en Google, publicado en Twitter , “El parche de bash parece incompleto para mí, función de análisis es aún frágil.” Él incluyó un comando de bash de ejemplo que mostró el código parcheado aún podría ser explotado. Su mensaje fue transmitido a la Open Source Software de Seguridad (oss-sec) lista de correo y pronto dio lugar a la publicación de lasotras vulnerabilidades comunes y la exposición (CVE) la publicación por NIST -rating la vulnerabilidad como un “10”, el más alto nivel de preocupación .

Ramey escribió un nuevo parche miércoles por la noche, pero todavía requieren pruebas y embalaje.Como resultado, los primeros parches completos no estaban listos para ser derribado para varias distribuciones de Linux hasta la noche del jueves . Red Hat ha publicado un parche de hoy a las 12:47 UTC.

Linux ya ha lanzado un parche de seguridad que está disponible para las distribuciones más afectadas. Desafortunadamente, el parche aborda de forma parcial de vulnerabilidad. Siguen trabajando en una versión completa, Algunos consejos;

—Si usted es el usuario final, tenga cuidado con los parches para su Mac, su teléfono Android, u otros dispositivos que pueda tener.
—Si usted está trabajando con los sistemas Linux, instale parches BASH inmediatamente.
—Si está ejecutando servidores web Linux / APACHE que usan scripts BASH, considere la reorganización de sus scripts para usar algo que no sea BASH hasta que un nuevo parche esté disponible.
—Si usted es el cliente de un servicio alojado, esté en contacto con ellos para saber si son vulnerables y conocer sus planes para resolverlo en caso de que lo sean.

fuentes: Arstechnica / bbc.uk / Abc.es / sedist.org /