Erster Angriff auf Bash-Lücke in Linux und Unix entdeckt

Rund einen Tag nach Bekanntwerden der auf den Namen „Shellshock“ getauften Lücke (CVE-2014-6271) in der Linux- und Unix-Shell Bash haben Sicherheitsforscher Beispielcode für einen Exploit entdeckt. Einer Analyse von Malwaremustdie.org zufolge verfügt die Malware über mehrere Funktionen. Sie ermöglicht Denial-of-Service-Angriffe und ist in der Lage, Passwörter für betroffene Server zu erraten. Dafür nutzt sie eine Liste mit schwachen Kennwörtern wie „root“, „admin“ oder „123456“.

Red Hat hat indes eingeräumt, dass der erste Patch für die Anfälligkeit in der Bourne-Again Shell (Bash) unvollständig ist und nicht alle Angriffe verhindern kann. Ein neues Update sei bereits in Arbeit. Betroffene Nutzer sollten trotzdem den vorhandenen Patch installieren, um ihre Systeme zu schützen.

Robert Graham von Errata Security hat nach eigenen Angaben bisher mindestens 3000 Systeme gefunden, die eine fehlerhafte Bash-Version einsetzen. Er habe aber lediglich nach Systemen mit offenem Port 80 gesucht. Eingebettete Webserver, die andere Ports verwendeten, seien jedoch die eigentliche Gefahr. Hier werde ein Scan wahrscheinlich „deutlich mehr Resultate liefern“, schreibt er in seinem Blog.

Darüber hinaus weist Graham darauf hin, dass – wie im ursprünglichen Advisory vermerkt – auch DHCP-Dienste anfällig sind. Er sei davon überzeugt, dass Malware für die Bash-Lücke auch als Wurm eingesetzt werden könne, um Firewalls zu umgehen und „viele andere Systeme zu infizieren“. „Eine entscheidende Frage ist, ob Mac OS X und iPhone DHCP anfällig sind – sobald der Wurm an einer Firewall vorbeikommt und einen eigenen DHCP-Server ausführt, bedeutet das ‚Game Over‘ für große Netzwerke.“

Die Sicherheitslücke erlaubt es unter Umständen, mithilfe speziell gestalteter Umgebungsvariablen aus der Ferne und ohne Authentifizierung Shell-Befehle auf einem Linux- oder Unix-Server auszuführen. Laut Andy Ellis, Chief Security Officer von Akamai, betrifft das Leck wahrscheinlich „viele Anwendungen, die Nutzereingaben prüfen und andere Anwendungen über eine Shell aufrufen.“

Nach Ansicht von Errata Security ist die Bash-Lücke ähnlich schwerwiegend wie der als Heartbleed bezeichnete Bug in OpenSSL, der Anfang des Jahres für Aufsehen gesorgt hatte. Wie OpenSSL, das in zahllosen Softwarepaketen integriert ist, könne eine Shell mit einer Vielzahl von Anwendungen interagieren. „Wir werden niemals in der Lage sein, alle Software zu katalogisieren, die für den Bash-Bug anfällig ist“, schreibt Robert Graham im Errata-Blog.

[mit Material von Liam Tung, ZDNet.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de