Unixシステムの大部分でShellshock（Bashバグ）の脆弱性が発見される

ニュース

少し前に、Unixオペレーティングシステムとその派生物に、セキュリティ上の欠陥が発見されました。

この欠陥は、オペレーティングシステムを制御するためにテキストコマンドを入力するために使用されるプログラムBash (Shell)に影響します。このプログラムは、Linux、BSD、Mac OS X など、ほとんどの Unix 系オペレーティングシステムに含まれています。 Android は、Almquist Shell と呼ばれる別の種類のシェルが含まれているため、Android のユーザーは安全です。

本脆弱性により、攻撃者は感染したマシン上でコマンドを実行することができます。

本脆弱性は、Bashがインストールされているすべてのシステムに影響しますが、デスクトップシステムのユーザーは、本脆弱性の性質上、侵入される可能性が低くなります。これは、攻撃者がインターネットに接続された何らかのサービスにアクセスし、着信接続を受け入れ、安全でない方法でShell Bashを使用する必要があるためです。それでも、OSのアップデータを実行し、このバグに関連するセキュリティパッチをインストールすることは良いことです。

Webサーバーは、最も影響を受けるシステムの1つです。なぜなら、Webサーバーを実行するためのプログラムは、Bashプログラムを使用することができ、熟練した攻撃者は、サーバーに送信されるHTTPヘッダーを変更してShellshock脆弱性を悪用することができるからです。

私たちのシステムがShellshock脆弱性の影響を受けているかどうかを確認するには、システムのターミナルに入り、次のように入力します。

'env x='() { :;}; echo vulnerable' bash -c "echo this is a test." と入力します。

私たちのシステムが返した場合。

脆弱性
this is a test

これは、システムが脆弱であることを意味します。脆弱性がない場合は、"this is a test"と表示されるだけです。

もし、以下のコマンドを実行したときに

env X='() { (test.net)=>>' bash -c "echo date"; cat echo; rm -f echo

というコマンドを実行したところ、現在の日付が表示された場合（その他にもエラー行が表示される場合があります）、当システムに脆弱性があることを意味します。

このバグを修正するためにできることは、オペレーティングシステムが提供するセキュリティアップデートをインストールすることです。ほとんどのLinuxシステムには、この脆弱性に対するセキュリティパッチが既に適用されています。