Erster Angriff auf Bash-Lücke in Linux und Unix entdeckt

Rund einen Tag nach Bekanntwerden der auf den Namen „Shellshock“ getauften Lücke (CVE-2014-6271) in der Linux- und Unix-Shell Bash haben Sicherheitsforscher Beispielcode für einen Exploit entdeckt. Einer Analyse von Malwaremustdie.org zufolge verfügt die Malware über mehrere Funktionen. Sie ermöglicht Denial-of-Service-Angriffe und ist in der Lage, Passwörter für betroffene Server zu erraten. Dafür nutzt sie eine Liste mit schwachen Kennwörtern wie „root“, „admin“ oder „123456“.

Red Hat hat indes eingeräumt, dass der erste Patch für die Anfälligkeit in der Bourne-Again Shell (Bash) unvollständig ist und nicht alle Angriffe verhindern kann. Ein neues Update sei bereits in Arbeit. Betroffene Nutzer sollten trotzdem den vorhandenen Patch installieren, um ihre Systeme zu schützen.

Robert Graham von Errata Security hat nach eigenen Angaben bisher mindestens 3000 Systeme gefunden, die eine fehlerhafte Bash-Version einsetzen. Er habe aber lediglich nach Systemen mit offenem Port 80 gesucht. Eingebettete Webserver, die andere Ports verwendeten, seien jedoch die eigentliche Gefahr. Hier werde ein Scan wahrscheinlich „deutlich mehr Resultate liefern“, schreibt er in seinem Blog.

Darüber hinaus weist Graham darauf hin, dass – wie im ursprünglichen Advisory vermerkt – auch DHCP-Dienste anfällig sind. Er sei davon überzeugt, dass Malware für die Bash-Lücke auch als Wurm eingesetzt werden könne, um Firewalls zu umgehen und „viele andere Systeme zu infizieren“. „Eine entscheidende Frage ist, ob Mac OS X und iPhone DHCP anfällig sind – sobald der Wurm an einer Firewall vorbeikommt und einen eigenen DHCP-Server ausführt, bedeutet das ‚Game Over‘ für große Netzwerke.“

Die Sicherheitslücke erlaubt es unter Umständen, mithilfe speziell gestalteter Umgebungsvariablen aus der Ferne und ohne Authentifizierung Shell-Befehle auf einem Linux- oder Unix-Server auszuführen. Laut Andy Ellis, Chief Security Officer von Akamai, betrifft das Leck wahrscheinlich „viele Anwendungen, die Nutzereingaben prüfen und andere Anwendungen über eine Shell aufrufen.“

Nach Ansicht von Errata Security ist die Bash-Lücke ähnlich schwerwiegend wie der als Heartbleed bezeichnete Bug in OpenSSL, der Anfang des Jahres für Aufsehen gesorgt hatte. Wie OpenSSL, das in zahllosen Softwarepaketen integriert ist, könne eine Shell mit einer Vielzahl von Anwendungen interagieren. „Wir werden niemals in der Lage sein, alle Software zu katalogisieren, die für den Bash-Bug anfällig ist“, schreibt Robert Graham im Errata-Blog.

[mit Material von Liam Tung, ZDNet.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Apple meldet Rekordumsatz im vierten Fiskalquartal

Die Einnahmen klettern auf fast 95 Milliarden Dollar. Allerdings belastet der Steuerstreit mit der EU…

2 Tagen ago

Microsoft steigert Umsatz und Gewinn im ersten Fiskalquartal

Das stärkste Wachstum verbucht die Cloud-Sparte. Microsoft verpasst bei der Umsatzprognose für das laufende Quartal…

2 Tagen ago

Bezahlkarten: Infineon verspricht weniger Plastikmüll

Ein Coil-on-Module-Package integriert Chip und Antenne, was den Kartenkörper fast vollständig recycelbar machen soll.

3 Tagen ago

Firefox 132 schließt elf Sicherheitslücken

Mindestens eine Anfälligkeit erlaubt das Einschleusen von Schadcode. Außerdem erweitern die Entwickler den Support für…

3 Tagen ago

Telekom nennt Termin für 2G-Ende

Zum 30. Juni 2028 soll das 2G-Netz komplett abgeschaltet werden und den Weg für schnellere…

3 Tagen ago

Alphabet übertrifft die Erwartungen im dritten Quartal

Gewinn und Umsatz legen deutlich zu. Zum Wachstum tragen auch die Sparten Cloud und Abonnements…

3 Tagen ago