Shellshock: Weiterer Patch behebt Schwachstellen in Bash

Für die Sicherheitslücke in der Bourne-Again Shell steht eine weitere Aktualisierung zum Herunterladen bereit. Die Shellshock genannte Schwachstelle gefährdet zahlreiche Versionen von Linux, Unix und Mac OS X. Red Hat hat bereits kurz nach Veröffentlichung der Lücke eingestanden, dass es neben der Anfälligkeit CVE-2014-6271 weitere Schwachstellen in der Open-Source-Software stecken.

“Kurz nachdem das Problem bekannt geworden ist, hat ein Forscher einen ähnlichen Fehler gefunden, der durch den ersten Fix nicht blockiert wurde”, teilte Red Hat mit. Dabei handele es sich um die Lücke mit der Kennung CVE-2014-7169. “Dieser Fehler ist auch ein Sicherheitsproblem, aber es ist nicht so schlimm wie der andere Fehler.”

Florian Weimer, Product Security Researcher bei Red Hat, hat zudem zwei weitere Schwachstellen (CVE-2014-7186 und CVE-2014-7187) entdeckt. Wie das Unternehmen mitteilt, sind diese aber weniger kritisch als die beiden anderen. Der neue Patch korrigiert die Fehler. “Die jüngste Bash-Version beseitigt alle CVE-Probleme”, sagte Red-Hat-Mitarbeiter Huzaifa Sidhpurwala im Gespräch mit ZDNet.com.

Um herauszufinden, ob Nutzer eine vollständige, teilweise oder gar nicht gepatchte Bash-Version einsetzen, können unterschiedliche Befehle in Bash ausgeführt werden. Je nach Ergebnis informieren sie über den Patch-Stand. Red Hat hat auf einer Website dazu Details veröffentlicht.

Die neuseeländische IT-Sicherheitsfirma Aura Information Security hat währenddessen festgestellt, dass Kriminelle bereits nach Servern mit unsicheren Bash-Versionen scannen. Demnach zielen rund 10 Prozent der Scans darauf ab, die Schwachstellen auszunutzen. 190 Angriffe seien bis Freitag registriert worden.

Am einfachsten sei es, Websites anzugreifen, sagte Andy Prow, Chief Executive Officer von Aura Information Security. Exploits für Shellshock seien “recht trivial”. Für einen Angriff benötige man nur wenig Fachwissen. Vor allem Websites, die CGI-Skripte einsetzen, seien anfällig. In diesem Fall bestehe eine sehr hohe Wahrscheinlichkeit eines erfolgreichen Angriffs. Aber auch Geräte wie Network Attached Storage (NAS) seien wahrscheinlich angreifbar.

Das UK CERT warnt in einer aktualisierten Sicherheitsmeldung, dass Shellshock sogar noch deutlich mehr Systeme betreffen könnte als der im April entdeckte Heartbleed-Bug in OpenSSL, der Zugriff auf den flüchtigen Speicher eines Webservers ermöglichte. Ein Grund dafür ist, dass rund 500 Millionen Websites auf Apache-Webservern laufen, die wahrscheinlich Linux einsetzen und somit mit Sicherheit Bash installiert haben, wie der australische Sicherheitsforscher Troy Hunt anmerkt.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de