Shellshock เป็นชื่อเรียกช่องโหว่ CVE-2014-6271 ที่เกิดกับ bash shell โดยเมื่อเรากำหนดค่าตัวแปร environment ด้วยข้อความที่เป็นการประกาศ function แล้วตามด้วย string จะกลายเป็นว่า string นั้นถูกเรียกมาทำงานด้วย ซึ่งอาจเป็นโค้ดจากผู้ไม่หวังดี
ทดสอบว่า เราได้รับผลกระทบจากช่องโหว่นี้หรือไม่ ก็เขียน shell สคริป เพื่อทดสอบตามที่กล่าวมา เช่นใช้สคริปนี้
env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
ก็โดนดีเข้าแล้วครับ คือเจอการทำคำสั่งหลังการประกาศ function ที่เป็น () { :;};
การแก้ไข ถ้าเป็น Raspbian ตอนนี้มีตัวอุดช่องโหว่แล้วครับ ก็สั่ง
sudo apt-get update -y
ก็หายแล้วครับ
อ้างอิง
Stephack.com (สาธิตได้ดีมากครับ)
http://www.raspberrypi.org/forums/viewtopic.php?f=66&t=87812
http://www.theregister.co.uk/2014/09/24/bash_shell_vuln/
http://blog.erratasec.com/2014/09/bash-shellshock-scan-of-internet.html
https://thaicert.or.th/alerts/admin/2014/al2014ad005.html