Perché il bug Shellshock è peggio di Heartbleed

Mercoledì scorso si è verificata una grave vulnerabilità del software chiamata Shellshock segnalato ; il bug potrebbe essere sfruttato per compromettere milioni di server e altri dispositivi in ​​tutto il mondo. Non sappiamo ancora quanto sarà ampio e costoso il problema, ma sappiamo già che Shellshock è più grave della vulnerabilità Heartbleed che ha ricevuto ampia attenzione ad aprile.

Software affetto da Heartbleed utilizzato dai server per crittografare e proteggere le comunicazioni. Il difetto ha consentito agli aggressori di ottenere informazioni sensibili come chiavi di crittografia o password da server vulnerabili che potrebbero essere utilizzati per accedere segretamente al sistema in un secondo momento, ad esempio per rubare dati personali.

Shellshock consente all'attaccante molta più potenza. Possono usarlo per assumere il controllo completo di un sistema anche senza avere un nome utente e una password. Lo sfruttamento della vulnerabilità è semplice e non richiede competenze avanzate.

Poiché un utente malintenzionato può utilizzare Shellshock per eseguire in remoto qualsiasi codice su un sistema, potrebbe essere utilizzato per creare un worm autoreplicante. Utilizzerebbe un sistema compromesso per attaccare altri sistemi e così via, propagandosi sulla rete e compromettendo centinaia o migliaia di sistemi in poco tempo.

La vulnerabilità Shellshock è stata trovata in un pacchetto software chiamato Bash , un interprete della riga di comando, o shell, che fornisce un modo potente e flessibile per eseguire comandi su un computer. È l'impostazione predefinita per tutti i sistemi operativi basati su Linux e Mac OS X di Apple. Bash è anche ampiamente utilizzato su semplici dispositivi connessi a Internet, molti dei quali eseguono versioni di Linux, il che significa che non solo i server potrebbero essere compromessi, ma anche alcuni router domestici, Telecamere IP, ecc.

Alcuni popolari dispositivi di rete ampiamente utilizzati dalle aziende sono già stati identificati come vulnerabili. I dispositivi mobili non sono a rischio, a meno che tu non abbia modificato il tuo dispositivo Apple o Android per ottenere un maggiore controllo sul suo software.

Shellshock è pericoloso perché mentre Bash non è direttamente esposto a Internet, alcuni software possono utilizzare Bash internamente. Ad esempio, il software DHCP che negozia la tua connessione a una rete Wi-Fi può trasmettere comandi a Bash. Ciò significa che qualcuno con un sistema operativo vulnerabile (principalmente Linux) potrebbe essere attaccato quando si connette a un Wi-Fi non affidabile. (Vale la pena notare che la connessione a reti Wi-Fi non affidabili è sempre un rischio.)

Entro un giorno dalla segnalazione di Shellshock, c'erano prove che fosse usato per inscenare attacchi in natura. I dipartimenti di sicurezza delle informazioni di tutte le aziende e organizzazioni dovrebbero intraprendere azioni preventive come l'applicazione di correzioni di sicurezza e un attento monitoraggio delle reti interne. Il team di preparazione alle emergenze informatiche degli Stati Uniti ha ha emesso un avviso e insieme ad altre organizzazioni di sicurezza in tutto il mondo raccomanda agli utenti e agli amministratori di sistema di applicare le correzioni di sicurezza il prima possibile.

Tuttavia, è ancora troppo presto per elaborare un elenco completo dei dispositivi interessati che devono essere aggiornati. E sebbene i ricercatori e i fornitori di dispositivi stiano pubblicando dettagli su quali dispositivi sono vulnerabili e quali no, per alcuni dispositivi in ​​uso nessuno controllerà perché non sono più supportati o la documentazione è carente.

Più velocemente i sistemi vengono identificati e patchati, minore sarà il numero di compromissioni alla sicurezza e perdite finanziarie causate da Shellshock. È possibile che gli effetti economici di questo bug siano gravi perché un sistema compromesso può interessare molte persone. Ad esempio, un sito di e-commerce compromesso potrebbe non solo causare una perdita di vendite a causa dei tempi di inattività necessari per l'applicazione delle patch, ma anche esporre milioni di dettagli di carte di credito, causando disagi ai consumatori.

Cesar Cerrudo è il capo della tecnologia presso l'azienda di sicurezza informatica IOActive Labs .

nascondere