Поиск по тегу: shellshock

Вы уж извините, дорогие наши читатели, но мы снова про Shellshock, “дыру” в командной оболочке Bash, открытие которой уже навело немало шороха в IT-сообществе. Дело в том, что эта оболочка используется многими компонентами таких популярных платформ, как OS X и Linux, и с ее помощью хакеры могут запускать вредоносный код с минимальными усилиями и в дальнейшем захватывать удаленный контроль над атакуемой системой. При этом несмотря на успокоительные заявления Apple и ряда иных фирм, паника не стихает.

Масло в огонь подлило недавняя находка разработчиков, сообщающих о потенциальной возможности использовать указанный эксплойт для запуска произвольного программного кода, применяя инструкции, не подпадающие под действие выпускаемых сейчас апдейтов и патчей. По словам экспертов, для обхода защиты можно использовать, скажем, обычные переменные вроде «cat», а единственным полноценным способом избежать этого может стать фундаментальное изменение способа, которым оболочка управляет переменными. Данное открытие мало повлияет на рядовых пользователей Mac и ПК под Linux, а вот владельцам сайтов и создателям систем типа “интернет вещей” есть о чем задуматься.

Не успели администраторы вздохнуть с облегчением после устранения нашумевшей ошибки в протоколе OpenSSL, как специалисты компании Positive Technologies обнаружили брешь в безопасности одного из фундаментальных компонентов операционной системы Linux — командной оболочке Bash.

Новая уязвимость получила название ShellShock, если её своевременно не устранить, по негативным последствиям она будет сопоставима с Heartbleed. В зоне риска находятся все общедоступные серверы GNU/Linux без последних обновлений безопасности, а в особенности — корпоративные сети с устаревшими версиями программного обеспечения. Кроме того, взлому подвержены маршрутизаторы, встраиваемые устройства и любое другое оборудование, связанное с «интернетом вещей».

ShellShock позволяет злоумышленнику удаленно запускать произвольные команды операционной системы. По этой причине пользователям Android-устройств и владельцам портативных компьютеров, работающих под управлением ОС Linux или OS X, не рекомендуется подключаться к незнакомым точкам доступа. В первую очередь это касается мест массового скопления людей, где вероятность хакерских атак максимальна.

Среди уязвимых веб-приложений значатся популярная панель управления хостингом cPanel и проекты, использующие интерфейс CGI, shell-технологии, вызовы system/exec в PHP или os.system/os.popen в Python.

Представители Positive Technologies также отмечают, что встроенные механизмы защиты приложений в фирменном ПО Application Firewall смогут выявить и блокировать атаку ShellShock.

Ранее редакция  опубликовала самых известных приложений, стоящих на страже конфиденциальности пользователей. Разглашённые Эдвардом Сноуденом сенсационные сведения о масштабах слежки, осуществляемых АНБ, потрясли весь мир и заставили многих людей задуматься. Эра «после Сноудена» ознаменовалась тем, что обычные пользователя стали отличаться высокой осведомлённостью о том, как скрыть своё общение от назойливых глаз. Насколько данный настрой характерен для наших российских читателей, неясно. Но то, что в отрасли намечается бум анонимайзеров для браузеров и приложений для обеспечения конфиденциальности, в том числе от рекламы, — вполне очевидный факт. Мы в свою очередь составили список самых интересных приложений для параноидальных владельцев мобильных устройств. Подробнее об этом читайте в статье «Как бороться со слежкой: самые известные приложения».