¿Qué es una vulnerabilidad Shellshock?

Shellshock es un nombre común para algunos problemas de seguridad de Linux en el shell bash. Bash es el terminal predeterminado para muchas distribuciones de Linux, lo que significa que los efectos de los errores ahora están generalizados.

Nota: La vulnerabilidad no afectó a los sistemas Windows porque Windows no usa el shell Bash.

En septiembre de 2014, Stéphane Chazelas, un investigador de seguridad, descubrió por primera vez el problema en Bash y lo informó en privado a su responsable. Trabajó con el desarrollador responsable del mantenimiento de Bash y desarrolló un parche que solucionó el problema. Una vez que se lanzó el parche y estuvo disponible para su descarga, el tipo de error se lanzó al público a fines de septiembre.

Unas horas después de que se informó del error, se estaba explotando en la naturaleza y, en cuestión de días, ya existían redes de bots basadas en la explotación utilizada para realizar ataques DDOS y escaneos de vulnerabilidades. Aunque ya había un parche disponible, las personas no pudieron aplicarlo rápidamente para evitar la fiebre contagiosa.

En los días siguientes, se identificaron cinco vulnerabilidades más relacionadas. Nuevamente, los parches se desarrollaron y lanzaron rápidamente, pero a pesar del funcionamiento activo, las actualizaciones no se aplicaron de inmediato o están disponibles de inmediato en todos los casos, lo que hace que las máquinas sean más compatibles.

Las vulnerabilidades provienen de una variedad de vectores, incluidas las llamadas al sistema del servidor web CGI administradas incorrectamente. El servidor OpenSSH le permite aumentar los privilegios de un shell restringido a un shell no restringido. Los servidores DHCP maliciosos pudieron ejecutar código en clientes DHCP vulnerables. Mientras procesa mensajes, Qmail ha permitido que se procesen. El shell restringido de IBM HMC podría explotarse para obtener acceso completo al shell bash.

Debido a la naturaleza generalizada del error, así como a la gravedad de las vulnerabilidades y la prisa por explotar, Shellshock a menudo se compara con «Heartbleed». Heartbleed era una vulnerabilidad en OpenSSL que filtraba memoria sin la interacción del usuario.