Poll

Op T.net mocht het allemaal wel wat beter uitgelegd worden.

De kern van de zaak is dat de system()-call waarmee je een process opstart 2 stappen doet:
1) fork() start een child-process op, een identieke clone van het huidige programma.
2) exec() voert het programma uit wat je wil opstarten. Mààr, hier zit het speciale dan. Er wordt niet zomaar exec() gedaan van je programma, het uitgevoerde commando is '/bin/sh -c "<jouw echte commando hier>"'. Doordat elk child processen standaard de environment variabelen overerven van het parent (bij de fork()) wil het zeggen dat elk proces wat system() uitvoert en waar op 1 of andere manier opzettelijk of via een exploit een gebruiker invloed heeft op wat er in de environment variabelen zit is vulnerable.

Voorbeelden zijn CGI scripts, waar mogelijk URL variabelen in de environment geplaatst kunnen worden, of een DHCP client waar DHCP parameters in de environment gezet worden.

Hoe erg is zo'n vulnerable shell? Dat hangt af van de configuratie. DHCP clients durven gemakkelijk als root draaien, terwijl een administrator die CGI scripts als root draait een schop voor z'n kont verdient. Wanneer standaard practices zoals het gebruik van users/groups met beperkte rechten goed ingesteld zijn, dan kan de schade enigzins beperkt zijn. Als je een goed geconfigureerde SELinux erbovenop draaien hebt, kan de schade mogelijk nog verder beperkt worden. Ook veel embedded apparatuur zoals NASen, routers en andere gebruiken busybox, dewelke dit probleem niet heeft.

En wat met de claim dat het ding na 2 patches nog altijd vulnerable is? Wat overblijft is een standaard feature van de shell, dewelke je kan misbruiken. Hierbij moet gekozen worden tussen backwards compatibility of security. De realiteit zal echter waarschijnlijk zijn dat er een 3de oplossing zal komen met een aanvaardbare trade-off. Welke dat zal zijn moeten we nog even afwachten.

Als je even kijkt naar https://lwn.net/Articles/613640/ dan zie je dat Fedora heel veel packages gefixed heeft bovenop de fix voor bash. Eigenlijk komt het tot op zeker hoogte daarop neer. De parent is verantwoordelijk voor de environment (tenzij een andere exploit daar iets mee doet), het is dan ook die parent die moet zorgen dat er geen troep in zit.

[Reactie gewijzigd door H!GHGuY op 23 juli 2024 06:28]