کشف آسیب پذیری مهم در سرورهای لینوکس

یک نقطه ضعف امنیتی که از مدتها قبل در نرم افزار GNU Bash وجود داشته، به تازگی کشف و شناسایی شده است. این نقطه ضعف که نام Shellshock روی آن گذاشته شده است، توزیع کنندگان نسخه های مختلف لینوکس، مدیران سرورهای لینوکس، عرضه کنندگان خدمات ابری و بسیاری از کاربران این سیستم عامل را وادار به واکنش کرده تا با تشخیص عوارض و میزان گستردگی این نقطه ضعف امنیتی جدید، راه های مقابله با آن را پیدا کنند.

نقطه ضعف جدید Shellshock در عین پیچیدگی، به آسانی قابل سوء استفاده است. از طرف دیگر، راه های برطرف کردن و ترمیم این نقطه ضعف هم راحت و آسان است.

نقطه ضعف Shellshock در نرم افزار “متن باز” (Open Source) به نام GNU Bash است که تقریباً در تمام نسخه های سیستم عامل لینوکس و حتی سیستم عامل Apple OS X بکار رفته است. این ابزار نرم افزاری یک رابط و وسیله ای برای ارتباط بین کاربر و کامپیوتر است. سوء استفاده از نقطه ضعف Shellshock در این نرم افزار، امکان صدور فرامین مخرب و یا ناخواسته به سیستم عامل را فراهم می آورد.

شاید اینطور تصور شود که این نقطه ضعف چندان اهمیتی ندارد، چون کاربری که به GNU Bash دسترسی دارد، تمام فرامینی که سیستم عامل ارائه می کند، نیز در اختیار او است. ولی خطر جدی در اینجا است که نرم افزارهای دیگر هم برای انجام برخی عملیات خود بر روی سیستم عامل، به GNU Bash دسترسی دارند. این دسترسی می تواند مانند یک درب مخفی به سیستم عامل عمل کند. با تزریق فرامین مخرب به درخواست هایی که توسط نرم افزارهای مختلف به GNU Bash ارسال می شوند، می توان سرور را وادار به اجرای این فرامین کرد.

بدین ترتیب با داشتن امکان اجرای فرامین غیرمجاز بر روی سیستم عامل لینوکس از طریق GNU Bash، می توان از نقاط ضعف شناخته شده دیگر بر روی سیستم عامل که از طریق ارتباطات شبکه ای قابل سوء استفاده نیستند، به آسانی سوء استفاده کرد.

به فاصله کوتاهی از زمان انتشار عمومی جزئیات نقطه ضعف Shellshock حرکات و اقداماتی برای شناسایی سیستم های آسیب پذیر توسط گروه ها و افراد نفوذگر مشاهده و ثبت شده است. 

به همه مدیران سرورهای لینوکس توصیه می شود که در اسرع وقت نسبت به به روز رسانی سیستم عامل اقدام نمایند. خوشبختانه اغلب توزیع کنندگان نسخه های لینوکس، اصلاحیه هایی برای رفع ضعف Shellshock عرضه کرده اند. ازجمله Debian, Ubuntu, Suse و Red Hat.

شرکت Red Hat نیز یک فرمان برای شناسایی سیستم های عامل آسیب پذیر به Shellshock را عرضه کرده است.