Actualización de seguridad Bash “Shellshock”

Leyendo por Internet y gracias a un correo que he recibido me ha llegado una notificación diciendo que se ha detectado una vulnerabilidad donde el atacante puede saltarse las restricciones del entorno y ejecutar comandos de shell desde bash de forma indiscriminada. A esto se le llama [mark]Shellshock[/mark].

El problema de esto es que hay servicios y aplicaciones que proporcionan acceso a estas variables de entorno por lo que permiten explotar dicha vulnerabilidad desde estas aplicaciones y servicios. Resumiendo, que no necesitan acceso directo directo a la línea de comandos, terminal o SSH para aprovecharse de este fallo de seguridad.

Por este motivo y al disponer de un VPS he tenido que actualizar de forma inmediata la versión de bash para solucionar lo antes posible este bug. Por eso si tu también dispones de un servidor con Linux, te recomiendo que lo actualices, si es que no lo has hecho ya.

¿Cómo se si mi servidor es vulnerable a este fallo de seguridad?

Para saber si tu servidor tiene una versión de bash afectada por esta vulnerabilidad, tan solo, tienes que acceder a él mediante SSH y ejecutar el siguiente código en a línea de comandos:

Si es vulnerable la salida estándar de este comando te devolverá la palabra [mark]Vulnerable[/mark]. Si no es vulnerable no te devolverá nada.

¿Cómo solucionar este fallo de seguridad si me servidor está afectado?

Tienes que acceder a tu servidor por SSH con usuario [mark color=yellow]root[/mark] y ejecutar los siguientes comandos dependiendo de tu distribución de Linux.

Para saber tu versión de Debian ejecuta:

Solucionar “Shellshock” en Debian 7 y Ubuntu

Solucionar “Shellshock” en Debian 6

Para actualizar bash en Debian 6, primero tenemos que agregar un repositorio. Para ello tenemos que editar el siguiente archivo:

Y agregar la siguiente línea al final del mismo:

Una vez agregado el repositorio seguir los pasos que hemos realizado para solucionar el problema en Debian 7.

Para terminar, tendremos que borrar la línea que hemos agregado en el fichero [mark]sources.list[/mark]

Si en esta versión de Debian aparece un error como este: [quote]W: GPG error: http://ftp.us.debian.org squeeze-lts Release: The following signatures couldn’t be verified because the public key is not available: NO_PUBKEY XXXXXXXXXXXX[/quote] tendremos que ejecutar los comandos:

Poniendo el mismo [mark color=yellow]id[/mark] en las XXXX que aparece en el error.

Soluciona “Shellshock” en CentOS, RHEL, Fedora, Scientific Linux

Una vez hecho esto ya habremos solucionado el fallo de seguridad de nuestros servidores Linux. Para estar seguro de ello podremos ejecutar la línea del principio y ver si devuelve la palabra [mark]Vulnerable[/mark], o si todo es correcto, no devolver nada.

2 respuestas en “Actualización de seguridad Bash “Shellshock”

  1. Pingback: Upgrade BASH en debian 6.0.6 por shellshock bug | sysopia

  2. Pingback: shellshock bug : actualizar BASH en debian 6.0.6 | sysopia

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *