UNIX – Linux Bash: fallo de seguridad crítico descubierto
La popular shell de UNIX y GNU/Linux, Bash, resulta que tiene un importante fallo de seguridad. El problema afecta sobre todo a los servidores web, ya que permite a cualquier usuario introducir comandos Bash, utilizando un fallo en las variables de entorno, vía HTTP o CGI.
Bash en la shell más común en la mayoría de servidores UNIX y GNU/Linux, esto hace que el fallo de seguridad sea grave. Se produce debido un fallo en las variables de entorno. Si una aplicación llama a un comando de la shell Bash vía HTTP o CGI, permitiría a un usuario malintencionado insertar datos en una web, y así dicha web ser hackeada (crackeada).
«Es super simple y casa versión de Bash es vulnerable» comentó Josh Bressers, gerente de seguredad de Red Hat. «Es extremadamente grave, pero se necesitan unas condiciones muy específicas, para que un usuario remoto podría acceder a las variables de entorno de un sistema. Afortunadamente, no es común»
En error en Bash ha sido descubierto por Stephane Chazelas, administrador de UNIX y Linux, y gerente de la empresa robótica SeeByte Ltd, en Reino Unido.
Algunos de los fallos más importantes de seguridad pueden darse en los servidores Apache, usando por ejemplo mod_cgi o mod_cgid, ya que cualquier de estos scripts está escrito en Bash.
Los parches de seguridad ya están en marcha, Red Hat ha sido de las primeras empresas en aplicarlos.
Por suerte sólo tenemos que actualizar nuestro bash para estar seguros.
OpenSSH también es vulnerable al fallo a través de la utilización de las variables AcceptEnv, TERM y SSH_ORIGINAL_COMMAND. Sin embargo, puesto que para acceder a la sesión tienes que estar autentificado, podemos estar relativamente seguros. Por seguridad podemos bloquear todos los usuarios, excepto los administratvios, hasta que tengamos parcheado nuestro sistema.
Para ampliar la información:
