Falha crítica de componente Bash pode expor sites pelo mundo

Uma vulnerabilidade grave (Vulnerabilidade Zero-Day – Shellshock |CVE-2014-6271|) que foi descoberta na última quarta-feira dia 24 de setembro, traz um novo alerta para a comunidade de tecnologia.
Trata-se de uma falha no componente Bash, que se devidamente explorada permite acesso não autorizado de root (administrador) em ambientes com sistema operacional Linux, onde estão hospedados a maioria dos sites pelo mundo.

O que isto significa?

A falha possui um componente que a torna mais grave ainda, pois pode ser explorada remotamente através de código CGI que estejam vulneráveis. Sua loja virtual, site ou blog podem estar correndo sérios riscos de ter uma porta totalmente aberta. Para qualquer pessoa entrar e fazer o que quiser, com permissão total.
Segundo o Instituto Nacional de Padrões e Tecnologias dos Estados Unidos (NIST, na sigla em inglês), o problema atingiu a escala máxima de severidade. Ele pode ser usado para liberar informações não autorizadas, modificar o sistema sem permissão ou mesmo interromper serviços.
A comunidade lançou um passo-a-passo para verificar se seu site está vulnerável e como corrigir:

Verificação da Vulnerabilidade

Para verificar se o sistema operacional está vulnerável, pode se executar na linha de comando o seguinte:

$ env x='() { :;}; echo estou vulneravel’ bash -c ‘false’
estou vulneravel

Se a frase estou vulnerável for retornada, significa que o sistema operacional possui a vulnerabilidade.

Correção para a vulnerabilidade

Para corrigir a vulnerabilidade os administradores de sistema devem utilizar o seguinte comando:

Ambientes Red Hat/Centos):
yum update bash

Ambientes Debian/Ubuntu:
apt-get update && apt-get install bash

Após a correção efetuar nova verificação:

$ env x='() { :;}; echo estou vulneravel’ bash -c ‘false’
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x’

Se o resultado apresentado for como acima, significa que o sistema não está vulnerável ao shellshock.

Recomendações Gerais

Vulnerabilidades em sistemas são descobertas a todo o momento. Sendo assim é imprescindível que empresas e usuários possuam rotinas de atualizações. Elas devem prevenir que tais vulnerabilidades sejam exploradas comprometendo a confidencialidade, integridade e disponibilidade de sistemas e informações.
Fique ligado!