Re: Linux et Unix affectés par une faille critique dans Bash
Bonjour,
Le 25/09/2014 22:24, andre_debian@numericable.fr a écrit :
> La vulnérabilité pourrait constituer une plus grande menace que Heartbleed
>
> www.developpez.com/actu/75661/Linux-et-Unix-affectes-par-une-faille-critique-dans-Bash-la-vulnerabilite-pourrait-constituer-une-plus-grande-menace-que-Heartbleed/
>
> http://seclists.org/oss-sec/2014/q3/649
>
> Info, hoax ou intox ?
Perso, même si c'est vraiment une grosse faille, ça me semble moins
grave que Heartbleed. Je vais peut-être dire des bêtises (auquel cas
je serais ravi d'avoir des explications) mais il me semble que si
l'on prend l'exemple d'un serveur Web, ça n'est pas simple de pouvoir
exploiter cette faible à distance. Parce qu'il faut déjà que le serveur
web soit amené à lancer un bash ce qui me semble pas toujours le cas
(mais il paraît que ça peut arriver avec du cgi par exemple) mais
surtout il faut que l'attaquant arrive à distance à faire en sorte
qu'une nouvelle variable d'environnement soit définie au moment où
le bash s'exécute sur le serveur et ça, ça me semble pas évident à
distance.
En effet, la faille s'exploite en définissant une variable
d'environnement qui fera partie du processus du bash. Mais si un
attaquant arrive à faire cela, alors sans même que cette faille existe,
ça veut dire qu'il peut modifier le PATH par exemple et potentiellement
déjà mettre un peu la pagaille, non ?
Je serais curieux d'avoir vos avis d'expert. ;)
--
François Lafont
Reply to: