¿Cuál es la vulnerabilidad de Shellshock?

Shellshock es un nombre colectivo para una serie de problemas de seguridad de Linux en el shell bash. Bash es el terminal predeterminado en muchas distribuciones de Linux, lo que significa que los efectos de los errores fueron particularmente generalizados.

Nota: La vulnerabilidad no afectó a los sistemas Windows, ya que Windows no usa el shell Bash.

En septiembre de 2014, Stéphane Chazelas, investigador de seguridad, descubrió el primer problema en Bash y lo denunció en privado a la persona que lo mantiene. Trabajó con el desarrollador responsable del mantenimiento de Bash y se desarrolló un parche que solucionó el problema. Una vez que se lanzó el parche y estuvo disponible para su descarga, la naturaleza del error se lanzó al público a fines de septiembre.

Unas horas después de que se anunció el error, estaba siendo explotado en la naturaleza y en un día ya existían botnets basadas en el exploit utilizado para realizar ataques DDOS y análisis de vulnerabilidades. Aunque un parche ya estaba disponible, la gente no pudo implementarlo lo suficientemente rápido como para evitar la fiebre de la explotación.

En los días siguientes se identificaron otras cinco vulnerabilidades relacionadas. Nuevamente, los parches se desarrollaron y lanzaron rápidamente, pero a pesar de la explotación activa, las actualizaciones aún no se han aplicado necesariamente de inmediato o incluso están disponibles de inmediato en todos los casos, lo que lleva a máquinas más comprometidas.

Las vulnerabilidades provienen de una variedad de vectores, incluidas las llamadas al sistema de servidor web basadas en CGI manejadas incorrectamente. El servidor OpenSSH permitía la elevación de privilegios de un shell limitado a un shell no restringido. Los servidores DHCP maliciosos pudieron ejecutar código en clientes DHCP vulnerables. Mientras procesaba los mensajes, Qmail permitió su explotación. El shell restringido de IBM HMC podría explotarse para obtener acceso a un shell bash completo.

Debido a la naturaleza generalizada del error, así como a la gravedad de las vulnerabilidades y la prisa por la explotación, Shellshock a menudo se compara con "Heartbleed". Heartbleed era una vulnerabilidad en OpenSSL que filtraba el contenido de la memoria sin la interacción del usuario.