> MENU
gdrive

GDrive: usa Google Drive da riga di comando

mbw

Quant’è veloce la tua RAM? Testalo con Linux!

2 ottobre 2014 Visualizzazioni: 1091 HowTo

Shellshock: il tuo PC è al sicuro? Verificalo subito!

Ecco come verificare se la nostra distro Linux soffre del bug Shellshock: basta un semplice comando per mettersi subito al sicuro.


Come molti di noi sapranno già, c’è un nuovo bug che da qualche giorno sta mettendo a repentaglio la sicurezza dei sistemi Linux. Il suo nome è Shellshock e, come si intuisce dal nome stesso, è una problematica che riguarda la shell e che, stando a quanto dichiarato da alcuni ricercatori di Red Hat, permetterebbe ad utenti malintenzionati di intrufolarsi in server e desktop Linux prendendone il pieno controllo.

Ma, fortunatamente, solo poche ore dopo la scoperta del bug, gli sviluppatori hanno prontamente rilasciato un aggiornamento di Bash che blocca di fatto ogni tentativo di accesso. Ma come fare a capire se il nostro sistema è affetto da Shellshock?

Una risposta arriva sempre da Red Hat che ha diffuso in Rete un semplice test che ci consentirà di annientare ogni dubbio circa la sicurezza del nostro sistema. Tutto quello che dobbiamo fare è accedere al terminale (indipendentemente dalla distro in uso) e da qui lanciare il comando:

env x='() { :;}; echo vulnerable’ bash -c “echo this is a test”

Fatto ciò, non ci resta che analizzare il risultato mostrato a video. Nel caso in cui appaia il messaggio “this is a test” vuol dire che possiamo dormire sonni tranquilli: con ogni probabilità abbiamo già provveduto ad installare tutti gli aggiornamenti di sistema disponibili e dunque la falla di Bash è stata turata. Diverso invece il discorso se ci ritroviamo di fronte a:

vulnerable
this is a test

In tal caso, il nostro PC è ancora affetto da Shellshock ed è proprio il caso di correre subito ai ripari. Come? Semplicemente aggiornando gli ultimi pacchetti disponibili di Bash. Se ad esempio utilizziamo Ubuntu (o una sua derivata), lanciamo da terminale il comando:

sudo apt-get update
sudo apt-get install bash

Non ci resta che riavviare il sistema e lanciare nuovamente il comando di test da terminale per verificare che tutto sia andato per il verso giusto.

shellshock

Fonte: Red Hat Security

twittergoogle_pluslinkedinmail
  • aytin

    Non sono per niente d’accordo.
    L’assunto di questo articolo è che: se il vostro pc soffre della vulnerabilità in oggetto, allora si può prenderne il controllo da remoto. Allarmismo inutile.
    Questa implicazione non è assolutamente vera perché:
    1) il pc deve erogare un servizio
    2) il servizio deve poter invocare una shell (è già questa è una porcata notevole)
    3) l’utente con cui gira il servizio deve poter aprire una shell (normalmente non è così per default, proprio per questioni di sicurezza. Ma se vale l’ipotesi 2), la 3) deve valere di conseguenza (e abbiamo già introdotto una bella falla di sicurezza che farebbe rizzare i capelli a qualunque amministratore).
    4) con shellshock non puoi fare privilege escalation, quindi l’utente coinvolto deve poter fare qualcosa di interessante nella sua shell, tipo cambiare i parametri in modo arbitrario (vedi punto 3)
    5) il servizio non gira in un jail, lxc, zone

    Beh… si sono macchine conciate in questa maniera, saranno state ampiamente trapanate senza bisogno di shellshock.

    Non è che non ci siano vulnerabilità, anzi: https://www.debian.org/security/2014/
    Shellshock però gode di una ribalta mediatica che non merita affatto.

  • http://deasproject.altervista.org/blog/ Dea1993

    a causa del font del sito bisognerà sostituire ” con ” e ’ con ‘