No que parece ser a vulnerabilidade de segurança mais impactante desde o caso OpenSSL Heartbleed , um novo bug em toda a Internet surgiu esta semana no Bourne again shell (Bash). Embora sua verdadeira gravidade permaneça desconhecida, a vulnerabilidade do Bash está sendo comentada em todos os lugares, e você pode até ter visto os âncoras do noticiário local discutindo a história em frente a uma tela verde coberta por um código de computador de rolagem rápida no noticiário da noite anterior.

O que é Bash?

Bash é uma espécie de linguagem de script e programa de shell de linha de comando desenvolvido pelo Projeto GNU em 1989. Ele permite que usuários e máquinas digitem comandos que são executados no nível do sistema. Essencialmente, ele emite e interpreta comandos. Se você gostaria de aprender mais, vá para a página GNU Bash .

O Bash está presente na maioria dos sistemas Unix e distribuições Linux e também no sistema operacional OS X da Apple, que empresta muitos elementos tanto do Unix quanto do Linux. Além disso, o Bash está presente em um grande número de servidores Web e aparelhos domésticos, incluindo, mas não se limitando a, roteadores e modems, bem como qualquer número de dispositivos conectados à rede e outros sistemas voltados para a Internet.

O bug do Bash foi descoberto por Stephane Chazelas, uma rede Unix e Linux e administrador de telecomunicações da empresa de segurança Akamai. Como você pode imaginar, essa vulnerabilidade já existe há algum tempo, talvez mais de 20 anos. Como o Heartbleed, só podemos esperar que Chazelas tenha sido a primeira pessoa a encontrar o bug, mas provavelmente nunca saberemos com certeza.

Como a vulnerabilidade do Bash me afeta?

Não demorou muito para que exploits in-the-wild direcionados à vulnerabilidade do Bash aparecessem. Essas explorações permitiriam a um invasor anexar remotamente um arquivo executável malicioso a pedaços de código ou script que são executados ou interpretados quando o Bash é chamado. Em outras palavras, depois de entregar uma exploração bem-sucedida, um invasor pode obter controle total dos sistemas afetados.

Bem, é muito mais fácil para um cibercriminoso explorar do que o Heartbleed. Além disso, no caso do Heartbleed, um cibercriminoso só poderia roubar dados da memória, na esperança de encontrar algo interessante. Em contraste, a vulnerabilidade do bash torna o controle total do sistema muito mais possível. Portanto, parece ser mais perigoso.

Quando questionados se o bug do Bash era “o novo Heartbleed”, nossos amigos da Equipe Global de Pesquisa e Análise

“Bem, é muito mais fácil para um cibercriminoso explorar do que o Heartbleed. Além disso, no caso do Heartbleed, um cibercriminoso só poderia roubar dados da memória, na esperança de encontrar algo interessante. Em contraste, a vulnerabilidade do bash torna o controle total do sistema muito mais possível. Portanto, parece ser mais perigoso. ”

Os pesquisadores também especularam sobre um cenário em que o bug do Bash poderia ser usado para roubar informações bancárias e, eventualmente, dinheiro. Certamente, é possível que um invasor explore o Bash e roube suas credenciais por meio de seu computador pessoal, mas seria necessário que essa pessoa encontrasse algum vetor de exploração para acessar a interface de comando do Bash. Isso não seria uma tarefa fácil. Mais realisticamente, um invasor procuraria um servidor usado por seu site bancário favorito e tentaria várias contas e suas informações de uma só vez.

Este aviso da Equipe de Prontidão de Emergência de Computadores dos Estados Unidos talvez resuma melhor a importância:

“Esta vulnerabilidade é classificada pelos padrões da indústria como 'Alto' impacto com CVSS Impact Subscore 10 e 'Baixa' na complexidade, o que significa que requer pouca habilidade para executar. Essa falha permite que os invasores forneçam variáveis ​​de ambiente especialmente criadas contendo comandos arbitrários que podem ser executados em sistemas vulneráveis. É especialmente perigoso devido ao uso predominante do shell Bash e sua capacidade de ser chamado por um aplicativo de várias maneiras. ”

O fato de que o bug do Bash é altamente impactante e fácil de explorar é outra diferença do Heartbleed, que era altamente impactante, mas difícil de explorar.

Como posso me proteger?

A única coisa que você pode fazer para se proteger, além de sair da Internet para sempre, é certificar-se de instalar as atualizações específicas do fornecedor apropriadas assim que estiverem disponíveis. Quanto aos sistemas operacionais executados em desktops ou laptops, você terá que esperar que as pessoas que gerenciam sua distribuição específica emitam um patch.

Quanto a roteadores, modems e outros eletrodomésticos, não haverá uma solução única para todos. O cenário mais provável é que os fabricantes de todos esses dispositivos distribuam atualizações de firmware de sua própria maneira e de acordo com sua programação. Essas atualizações, na maioria dos casos, não se instalam como uma atualização tradicional do sistema operacional.

De forma problemática, como os pesquisadores explicaram hoje, o Bash é tão versátil e usado em tantas instâncias diferentes que os patches serão inevitavelmente míopes. Corrigir a vulnerabilidade do Bash, portanto, provavelmente será um processo longo e demorado de tentativa e erro, que é exatamente por que vários pesquisadores e veículos de mídia do setor estão caracterizando a primeira rodada de patches do Bash como "incompleta".

Outro problema que gostaria de reiterar é que os sistemas * nix estão em todos os lugares e, por causa dessa realidade, o Bash também está em todos os lugares. Sem dúvida, haverá máquinas que executam o Bash que não podem ser atualizadas. Haverá também máquinas nas quais o Bash será executado, mas ninguém perceberá.

Como Robert Graham, da ErrataSec, escreveu em seu blog , que você faria bem em ler: “O número de sistemas que precisam ser corrigidos, mas que não serão, é muito maior do que Heartbleed.” Para colocar isso em contexto, Graham afirma que centenas de milhares de sites permanecem vulneráveis ​​ao OpenSSL Heartbleed meses depois que os patches foram disponibilizados.

O Avance Network é uma comunidade fácil de usar que fornece segurança de primeira e não requer muito conhecimento técnico. Com uma conta, você pode proteger sua comunicação e seus dispositivos. O Avance Network não mantém registros de seus dados; portanto, você pode ter certeza de que tudo o que sai do seu dispositivo chega ao outro lado sem inspeção.