O que é a vulnerabilidade Bash e como ela afeta você

Uma vulnerabilidade de segurança surgiu esta semana no software Bourne again Shell (Bash). Especialistas afirmaram que se trata do erro de segurança de maior impacto desde o surgimento do bug da OpenSSL Heartbleed. Embora a sua verdadeira gravidade ainda seja desconhecida, a notícia sobre a vulnerabilidade Bash já está sendo discutida entre a comunidade da informática e os meios de comunicação.

O que é a Bash?
Bash é uma espécie de linguagem de script e de interpretação de comendados shell desenvolvido pelo projeto BNU, 1989. Este software, permite que os usuários e as máquinas ingressem comandos  que, em seguida, se executarão no nível do sistema. Bash, essencialmente, se responsibiliza por realizar e interpretar os comandos. Se você quiser saber mais sobre o seu funcionamento, sugerimos que você acesse a página GNU Bash.

Bash está presente na maioria dos sistemas Unix, Linux e OS X da Apple. Eeste último está incluído, uma vez, que o Mac OS X utiliza muitos elementos do Unix e Linux. Além disso, Bash está presente em uma grande quantidade de servidores web, como routers e modens (e outros dispositivos).

O bug Bash foi descoberto por Stephane Chazelas, administrador das redes de telecom, Unix e Linux da firma Akami. Como você pode imaginar, essa vulnerabilidade já existe há algum tempo, talvez mais de 20 anos. Como o Heartbleed, só podemos esperar que Chazelas tenha sido a primeira pessoa a encontrar o erro, embora nunca saberemos com certeza se isso é assim ou não.

Como é que a vulnerabilidade Bash me afeta? 

Não demorará muito para que os cibercriminosos comecem a gerar exploits que ataquem a vulnerabilidade Bash. Esses exploits permitirá que os cibercriminosos possam anexar a distância um arquivo executável malicioso em pedaços de código dos sistemas vulneráveis e que, posteriormentem, serão executados ou interpretados pelo Bash. Em outras palavras, após a entrega de um ataque bem-sucedido, um cibercriminosos pode tomar o controle total dos sistemas afetados.

Quando perguntamos aos nossos amigos do Global Research and Analysis Team da Kaspersky Labo se o bug Bash é “o novo Heartbleed,” eles responderam:

“Bom, seria muito mais fácil para um cibercriminoso explorar o bug Bash do que o Heartbleed. Além disso, no caso de Heartbleed, um cibercriminoso só poderia roubar os dados da memória, na esperança de encontrar algo interessante. Já com a vulnerabilidad Bash, é possível ter o controle total do sistema. O que demonstra o quão perigosa é essa vulnerabilidade”.

Os pesquisadores da Kaspersky também especularam sobre um cenário em que o bug Bash pode ser usado para roubar informações bancárias. É certamente possível para um cibercriminoso explorar o Bash para roubar suas credenciais através do seu computador pessoal, mas isso exigiria que o cibercriminosos encontrasse algum vetor exploit que permita acessar a interface de comando Bash. O que não seria nada fácil.

Qual é a vulnerabilidade #Bash e como ela afeta você?

Tweet

Uma advertência do Emergency Readiness Team dos Estados Unidos, resume de maneira clara quais seriam os principais riscos desta vulnerabilidade:

“Esta vulnerabilidade é classificada pelos padrões da indústria como de “Alto Impacto” e, segundo especialistas, tem um nível baixo de complexidade. Isso significa que é preciso pouca habilidade para realizar um ataque. Um dos pontos chaves nesta questão é que o erro Bash é especialmente perigoso por causa do uso predominante do shell e sua capacidade de ser usado por um aplicativo de várias maneiras”.

O fato de que o bug Bash seja uma vulnerabilidade altamente impactante e fácil de explorar é uma das grande diferenças com relação ao bug Heartbleed, que foi muito impactante, porém difícil de explorar.

Como posso me proteger? 

A única coisa que você pode fazer para se proteger, além de deixar de usar a Internet para sempre, é instalar todas as atualizações específicas dos fornecedores, assim que estiverem disponíveis. Quanto aos sistemas operacionais rodando em desktops ou laptops, você vai ter que esperar que as pessoas que gerenciam a distribuição particular lancem o patch correspondente.

Quanto aos roteadores e modems e outros eletrodomésticos, não haverá one-size-fits-all solução. O cenário mais provável é que os fabricantes de todos esses dispositivos lançará atualizações de firmware em seu próprio caminho em sua própria programação. Essas atualizações, na maioria dos casos, não vai se instalar como uma atualização do sistema operacional tradicional.

O problema é que, segundo os pesquisadores da Kaspersky Lab, a Bash é tão versátil e usado em casos diferentes que os patches serão insuficientes. Criar um solução definitiva para a vulnerabilidade de Bash levará um longo tempo e muitos processos de testes e erros.

Outro grande problema que eu gostaria de reiterar é que os sistemas *nix estão por toda parte e, portanto, Bash está em todas as partes. Sem dúvida haverá máquinas que rodam Bash que não serão capazes de ser atualizadas. Também haverá máquinas em que Bash corre, mas ninguém percebe isso.

Como disse Robert Graham do ErrataSec no seu blog: “O número de sistemas que precisam ser corrigidos e que não serão corrigidos é muito maior do queo  Heartbleed”. Para você ter uma ideida do tamanho deste problema, Graham afirma que centenas de milhares de sites continuam vulneráveis ​​ao OpenSSL Heartbleed meses despois que foram lançados os patches.

Tradução: Juliana Costa Santos Dias