ما هو شلشوك؟ نفسر سبب تعرض بياناتك للخطر

يهدد خطأ موجود في Bash بإحداث فساد على ملايين أجهزة الكمبيوتر وخوادم الويب والأجهزة المتصلة

Bash Shellshock ، وهي ثغرة أمنية بالغة الأهمية لم يتم اكتشافها منذ أكثر من 20 عام ا ، قد تكون أكثر خطورة من Heartbleed. أحدث الأخطاء ، التي وجدت في قذيفة سطر الأوامر باش ، يضرب مباشرة في قلب الإنترنت. إنه يؤثر على أنظمة التشغيل Unix و Linux و Apple Mac OSX وإنترنت الأشياء والأجهزة وخوادم الويب Apache. هذا هو مجموعة كبيرة من أجهزة الكمبيوتر والخوادم وكذلك خمسين في المائة من جميع المواقع.

بعد ساعات فقط من الإبلاغ عن الخطأ ، تم اكتشاف أول استغلال على ما يبدو في البرية. تم وصف هذا الخطأ بأنه خطير للغاية ومن السهل جد ا استغلاله ، حيث يحتمل أن يكون المتسللون قادرين على التحكم الكامل في أجهزة الكمبيوتر المتأثرة. نوضح ماهية علة Bash Shellshock وماذا تعني بالنسبة لك وماذا تعني بالنسبة لك ولصناعة التكنولوجيا بأكملها.

ما هو Bash وما هو خطأ Shellshock؟

Bash عبارة عن مترجم أوامر أو shell (وبالتالي Shellshock) يستخدم على نظامي التشغيل Linux و Mac OSX (وكلاهما Unix) جنب ا إلى جنب مع مجموعة متنوعة من أجهزة الإنترنت وأجهزة الأشياء مثل أجهزة التوجيه المنزلية. يستخدم Bash أيض ا على خوادم Apache ، التي تستضيف حوالي 50 في المائة من جميع مواقع الويب.

ضع ببساطة Bash عبارة عن نافذة نصية تتيح للمستخدمين كتابة الأوامر لإحداث الأشياء (في OSX ستعرفها على أنها المحطة الطرفية). يمكن لـ Bash أيض ا قراءة الأوامر المعطاة من ملف. يتم استدعاؤه بواسطة جميع أنواع البرامج والعمليات لتنفيذ وظائف مختلفة في سطر الأوامر. تستخدم أجهزة الكمبيوتر Bash منذ أواخر الثمانينيات وأصبحت في كل مكان تقريب ا. تتأثر كافة إصدارات Bash حتى 4.3 إلى مشكلة عدم الحصانة هذه.

Bash هو shell الافتراضي لسطر الأوامر لنظامي Linux و Mac OSX ، وهما من أكثر أنظمة التشغيل استخدام ا في العالم. يمكن أن تؤثر أخطاء Bash أيض ا على إنترنت الأشياء ، حيث يعمل الكثير منها على توزيعات Linux. يمكن أن يكون الخطأ موجود ا أيض ا على نظام تشغيل Google الذي يعمل بنظام Android ، والذي يمكن وصفه على أنه توزيع Linux غير تقليدي.

كيف يعمل خطأ Bash Shellshock؟

تسمح مشكلة عدم الحصانة في Bash للمستخدم بإنشاء ما يسمى المتغيرات قبل الاتصال على Bash shell. يمكن أن تحتوي هذه المتغيرات على تعليمة برمجية يتم تشغيلها عند بدء تشغيل Bash الثانية. وفي شروط أبسط يجب ألا ي سمح بتشغيل التعليمات البرمجية في نهاية وظيفة Bash لكن الخطأ يجعل هذا ممكن ا.

فكيف يمكن للمتسلل استخدام الاستغلال؟ على خادم الويب Apache الذي يقوم بتشغيل Bash (نصف الإنترنت يعمل على Apache) ، يمكن استخدامه لاستهداف نصوص CGI. تقوم وحدات البت الصغيرة جد ا هذه بمهام مملة ولكنها ضرورية ، ولكنها تتيح أيض ا للمهاجمين الوصول إلى Bash عن غير قصد. باستخدام جزء من التعليمات البرمجية لاستهداف البرامج النصية لـ CGI ، يمكن للمتسلل الوصول إلى خادم عبر Bash. بمجرد أن يتمكن أحد المتطفلين من الوصول المباشر إلى الخادم ، يكون لديهم سيطرة كاملة عليه.

ومما يدعو إلى القلق أن الهجوم سهل للغاية على الأنظمة غير المتطابقة. كل ما يحتاجه المتسلل هو النسخ واللصق في بعض الأكواد وسيتم تنفيذ الأمر. نظر ا لأن Bash يقع في قلب العديد من أجهزة الكمبيوتر والأنظمة ، فإنه يمنح المتسللين التحكم في أي شيء تقريب ا.

في البداية ، لم يكن هناك أي دليل على أن الخطأ قد تم استغلاله ، لكن الأمر لم يكن سوى مسألة وقت قبل حدوث ذلك. وفق ا لنشر على GitHub ، وجد مسؤول النظام استغلال ا يستخدم مشكلة عدم حصانة Shellshock لإطلاق استغلال. بدا الهجوم لمحاولة هجوم القوة الغاشمة على الخادم في محاولة لتخمين أسماء المستخدمين وكلمات المرور. لا يزال الأيام الأولى والاستغلالات الأخرى لا مفر منها.

ما الذي يجعل علة Bash Shellshock المتسللين تفعل؟

الى حد كبير أي شيء. يمكن للمهاجم تنفيذ التعليمات البرمجية عن ب عد على الأنظمة المتأثرة ، والوصول إلى البيانات الداخلية ، أو تغيير الرمز ، أو تثبيت التعليمات البرمجية الضارة على الأنظمة وخوادم الويب. نصف جميع المواقع ضعيفة. من الواضح أن هذه مشكلة كبيرة.

الهجوم الأكثر احتمالا سيكون هجوم ا متكرر ا ذاتي ا ينتشر فيه رمز ضار من نظام إلى آخر. الآلات التي تواجه الجمهور (تلك التي تنظر إليها الآن) ربما لن تكون الهدف. يتم الحصول على المال الحقيقي من خلال ملاحقة الشركات الكبيرة وهذا هو السبب في أن الحافلة خطيرة للغاية. يمكن أن تجعل مشكلة عدم الحصانة المتسللين وراء جدران الحماية للشركات وسيعمل مسؤولو النظام بشكل محموم لتثبيت التصحيحات.

هل جهاز الكمبيوتر الخاص بي ضعيف؟

إذا قمت بتشغيل Windows ، فلا داعي للقلق. إذا قمت بتشغيل Linux أو Mac OSX ، فأنت في خطر. هناك طريقة سهلة للتحقق مما إذا كان الكمبيوتر الخاص بك قد يكون في خطر. افتح نافذة طرفية وأدخل الأمر التالي في موجه $:

env x = '() {:؛}؛ صدى الضعيف "باش -C" صدى هذا هو اختبار "

سيكون الإخراج على نظام عرضة للخطر:

غير حصين
هذا اختبار

سيتم إخراج نظام مصحح أو غير متأثر:

bash: warning: x: تجاهل محاولة تعريف الوظيفة
bash: خطأ في استيراد تعريف دالة لـ `x '
هذا اختبار

ما الذي يجب علي فعله لجعل OSX و Linux آمنين؟

قامت Apple بتطبيق تحديث خلفية لتصحيح أخطاء Shellshock Bash ، لكن الاختبارات أكدت وجود ثغرة أمنية في OSX. أكدت الشركة أيض ا أن الغالبية العظمى من المستخدمين لم يكونوا في خطر من مشكلة عدم الحصانة ، حيث يقوم OSX بحظر مآثر bash عن ب عد افتراضي ا. سيتم الكشف عن المستخدمين الذين قاموا بتكوين خدمات UNIX المتقدمة ، مع "Apple تعمل بسرعة" لإنشاء تصحيح.

يمكنك التحقق مما إذا كان نظامك لا يزال ضعيف ا عن طريق فتح Terminal واستخدام الرمز أعلاه. إذا قمت بتشغيل CentOS أو Debian أو Redhat أو Ubuntu ، فستكون البقع متاحة بالفعل. نشر فريق الاستعداد للطوارئ بالولايات المتحدة الأمريكية (US-CERT) صفحة مشورة حول Bash bug مع روابط لتنزيل تحديثات نظام التشغيل.

لماذا يعتبر خطأ Bash Shellshock مشكلة كبيرة؟

Bash هو جوهر ملايين الأجهزة من أجهزة الكمبيوتر إلى خوادم الويب وأجهزة التوجيه المنزلية إلى الكاميرات الأمنية. قال الخبراء إن هذا الخطأ له القدرة على أن يكون أسوأ من Heartbleed ، وقد ينتهي به الأمر إلى أن يكون صحيح ا. بينما سمحت Heartbleed للمتسللين بالتجسس على أجهزة الكمبيوتر ، فإن Shellshock يتيح للمهاجمين التحكم في أجهزة الكمبيوتر وتنفيذ التعليمات البرمجية والقيام بأي شيء يريدونه. إذا لم يتم تصحيح Bash بسرعة ، فقد تكون له عواقب وخيمة.

يتم بالفعل اكتشاف عمليات الاستغلال في البرية ومن المرجح أن يكون للمتسللين يوم ا في الميدان لاستهداف الخوادم الضعيفة. في المملكة المتحدة ، أعرب مكتب مفوض المعلومات عن قلقه البالغ من سرقة المتسللين للبيانات الشخصية:

"قد يكون هذا الخلل هو السماح للمجرمين بالوصول إلى البيانات الشخصية الموجودة على أجهزة الكمبيوتر أو الأجهزة الأخرى. بالنسبة إلى الشركات ، ينبغي أن يكون ذلك بمثابة رنين أجراس الإنذار الحقيقية ، لأن عليهم واجبات قانونية للحفاظ على أمان المعلومات الشخصية. أسوأ ما في الأمر هو التفكير في هذه المشكلة. معقدة للغاية - يجب أن تكون الشركات على دراية بهذا الخلل وتحتاج إلى مراقبة ما يمكنهم القيام به للتصدي له. وتجاهل المشكلة يمكن أن يتركهم عرضة لخرق خطير للبيانات وفي النهاية ، إجراء تنفيذ ، "تم توضيح الناطق الرسمي باسم ICO.

"بالنسبة للأشخاص الذين يشعرون بالقلق من أن معلوماتهم الشخصية معرضة للخطر على أجهزتهم الخاصة ، فإن الرسالة واضحة. لا تعتقد أن كل هذا يبدو معقد ا للغاية. تحديثات الأمان قيد التنفيذ حالي ا - لا تتجاهلها ، لكن تأكد من تطبيقها في أقرب وقت ممكن عمليا. "

هل يؤثر على ويندوز؟

لا ، ولكن أيضا نعم. لا يعتمد Windows على Bash بنفس الطريقة التي يعمل بها Linux و Max OSX ، لكن هذا لا يعني أن نظام Windows مجاني. لن تجد Bash على جهاز الكمبيوتر الذي يعمل بنظام Windows في المنزل ، لكن قد يكون موجود ا على أنظمة الخادم مع مكونات Microsoft. باختصار ، هذا ليس خطأ يؤثر على Windows ولكن يمكن تشغيل Bash على أنظمة Windows. إذا لم تكن مسؤول نظام في شركة كبرى ، فلا داعي للقلق بشأن تأثيره المحتمل على Windows.

لا أقوم بتشغيل خادم ، لماذا يجب أن أهتم؟

حتى إذا كنت لا تستخدم جهاز كمبيوتر يعمل بنظام Mac أو Linux في المنزل ، فلا يزال خطأ Bash كبير ا. يتم تخزين معظم المعلومات الشخصية الخاصة بك على خوادم في جميع أنحاء العالم ، ويمكنك استخدام الإنترنت في كل وقت. قد يسمح خطأ Bash للمتسللين بتحميل البرامج الدودية أو البرامج الضارة الأخرى إلى خوادم الويب الضعيفة ، والتي يمكن بعد ذلك تنزيلها على جهاز الكمبيوتر الذي يعمل بنظام Windows.يمكنك أيض ا الوصول إلى الإنترنت باستخدام جهاز توجيه. كما هو الحال مع العديد من الأجهزة المتصلة ، من المرجح أن تكون أجهزة التوجيه المنزلية عرضة لأخطاء Bash.

سيكون الأمر متروك ا لمسؤولي النظام لإصلاح الأنظمة التي تكون عرضة للإصابة بهجمات الفيروسات ومراقبة المهاجمين الذين يحاولون استغلال الثغرة الأمنية. سوف يستغرق الأمر بعض الوقت حتى نفهم بالضبط مدى خطورة حشرة Bash ولكن لا يمكن التقليل من قدرتها على إحداث الفوضى. مثل Heartbleed فإن علة باش لن تزول بين عشية وضحاها.

أنت لم تقل لي ما كنت بحاجة إلى معرفته. أين أستطيع ؟

بعض القراءة الإضافية مع تحميل مزيد من المعلومات حول علة Shellshock Bash:

باش هجوم بيئة حقن المتغيرات وضعت خصيصا (ريدهات)

بورن مرة أخرى شل (باش) الضعف تنفيذ التعليمات البرمجية عن بعد (US-CERT)

علة باش كبيرة مثل Heartbleed (روبرت غراهام / Errata الأمن)

كل ما تحتاج لمعرفته حول علة Shellshock Bash (Troy Hunt)

Bug in Bash shell ينشئ ثغرة أمنية كبيرة على أي شيء به * nix فيه (Ars Technica)

Bash 'Shellshock' Bug - Now Can Can Panic (OxCERT / Paul Hood)