Trovata una falla in BASH su sistemi Linux e Mac OS X che permetterebbe, ad utenti della rete malintenzionati, di eseguire codice da linea di comando, compromettendo il dispositivo o visualizzando dati personali.
Di seguito le istruzioni per controllare se il nostro sistema è infetto e porre rimedio al bug.
N.B.: i comandi sono stati testati su una distribuzione Debian based, prometto di aggiornare l’articolo con le istruzioni per sistemi Mac, non appena avrò avuto l’occasione di testarle.
AGGIORNAMENTO del 29/09: a dispetto di quanto scritto sopra e dopo numerose ricerche, non pubblicherò la guida per l’applicazione di patch a Shellshock su sistemi MAC OS X!
Di seguito le motivazioni che mi hanno portato a tale decisione:
- Non ho trovato alcun tipo di comunicato stampa relativo a una vulnerabilità di BASH in Mac OS X sul sito ufficiale di Apple.
- Gli articoli controllati su altri blog o testate giornalistiche, riferiti a Shellshock su Mac OS X, riportano che Apple avrebbe dichiarato, tramite comunicato stampa, di essere immune a tale bug, in quanto le opzioni relative ad esso sarebbero attivabili solo da un’utenza esperta.
L’unico consiglio che mi sento di dare agli utenti Apple, esperti o meno, è quello di provare la riga di comando che segue al punto 1 del tutorial. Per quanto mi riguarda, l’ho testata su Mac OS X 10.8 Mountain Lion e ha rivelato che il sistema esaminato presentava la vulnerabilità, probabilmente creatasi in seguito ad operazioni sulla macchina.
Ricordo, che i modi migliori per prevenire un certo tipo di attacco al nostro sistema, sia esso Windows, Mac o Linux, sono mantenerlo aggiornato ed evitare l’installazione di software non riconosciuto.
1. Controllare se il nostro sistema è vulnerabile a Shellshock
Da terminale digitare il comando:
env VAR='() { :;}; echo bash vulnerabile!' bash -c "echo bash non vulnerabile."
Se l’output del comando risulta “bash non vulnerabile“, il nostro sistema è sicuro, altrimenti sarà necessario aggiornare bash!!
2. Correggere l’errore
Sempre da una finestra di shell, digtiamo:
apt-get update && apt-get install --only-upgrade bash
Per eseguire le operazioni, sarà necessario essere loggati come utente di root.
