読者です 読者をやめる 読者になる 読者になる

labunix's blog

labunixのラボUnix

「CVE-2014-6271」、「CVE-2014-7169」について調べてみた(Debian Wheezy)

■「CVE-2014-6271」、「CVE-2014-7169」について調べてみた(Debian Wheezy)

 bashが広く普及していることから、
 bashバグ(bash bug)、シェルショック(ShellShock)とも呼ばれる。

■「CVE-2014-7169」は「CVE-2014-6271」で修正されていなかった修正。
 下記のテストコードは「sh」の実態が「bash」である環境の場合。
 Debianでは、「sh」の実態は「dash」である環境のため、
 そのままでは再現しないので注意。

 https://twitter.com/taviso/status/514887394294652929

■IPAの情報

 bash の脆弱性対策について(CVE-2014-6271 等)
 https://www.ipa.go.jp/security/ciadr/vul/20140926-bash.html

■JPCERTCCの注意喚起

 GNU bash の脆弱性に関する注意喚起
 https://www.jpcert.or.jp/at/2014/at140037.html

■概要
 以下より抜粋

 2014年9月26日号 14.10の開発・“shellshock”とその対応・UWN#384
 http://gihyo.jp/admin/clip/01/ubuntu-topics/291409/26

 環境変数に悪意ある細工が施された文字列が含まれた状態でbashが実行されると、
 攻撃者が与えた任意のコマンドが実行できてしまう

■SSH等のログインシェルやWeサーバが呼び出すCGI等で
 bashが使われていると該当します。

 bashの脆弱性がヤバすぎる件 
 https://x86-64.jp/blog/CVE-2014-6271

■確認方法
 Redhatの情報がきちんとまとめられている。

 bashの脆弱性(CVE-2014-6271) #ShellShock の関連リンクをまとめてみた
 http://d.hatena.ne.jp/Kango/20140925/1411612246

 Bash Code Injection Vulnerability via Specially Crafted Environment Variables (CVE-2014-6271, CVE-2014-7169)
 https://access.redhat.com/articles/1200223

 特別に作成された環境変数を使用した Bash コード挿入の脆弱性 (CVE-2014-6271)
 https://access.redhat.com/ja/articles/1210893

■更新前のDebian Wheezyで確認
 CVE-2014-6271の脆弱性の影響を受ける対象である。

$ cat /etc/debian_version 
7.6

$ bash -version | head -1
GNU bash, バージョン 4.2.37(1)-release (x86_64-pc-linux-gnu)

$ env x='() { :;}; echo Vulnerable CVE-2014-6271' bash -c "echo this is a test"
Vulnerable CVE-2014-6271
this is a test

■「CVE-2014-6271」単体の脆弱性チェック

$ env 'x=() { :;}; echo Vulnerable CVE-2014-6271' 'BASH_FUNC_x()=() { :;}; echo vulnerable' bash -c "echo test"
Vulnerable CVE-2014-6271
bash: BASH_FUNC_x(): 行 0: 予期しないトークン `)' 周辺に構文エラーがあります
bash: BASH_FUNC_x(): 行 0: `BASH_FUNC_x() () { :;}; echo vulnerable'
bash: `BASH_FUNC_x' の関数定義をインポート中にエラーが発生しました
test

$ export LANG=C; \
  env 'x=() { :;}; echo Vulnerable  CVE-2014-6271' 'BASH_FUNC_x()=() { :;}; echo vulnerable' bash -c "echo test"
Vulnerable  CVE-2014-6271
bash: BASH_FUNC_x(): line 0: syntax error near unexpected token `)'
bash: BASH_FUNC_x(): line 0: `BASH_FUNC_x() () { :;}; echo vulnerable'
bash: error importing function definition for `BASH_FUNC_x'
test

■「CVE-2014-7169」単体の脆弱性チェック

$ env X='() { (a)=>\' bash -c "echo date"; cat echo
bash: X: 行 1: 予期しないトークン `=' 周辺に構文エラーがあります
bash: X: 行 1: `'
bash: `X' の関数定義をインポート中にエラーが発生しました
2014年  9月 26日 金曜日 21:23:25 JST

$ export LANG=C; env X='() { (a)=>\' bash -c "echo date"; cat echo
bash: X: line 1: syntax error near unexpected token `='
bash: X: line 1: `'
bash: error importing function definition for `X'
Fri Sep 26 21:24:32 JST 2014

■脆弱性のあるbashをインストールしている

$ dpkg -l bash* | grep ^ii | awk '{printf "%-20s%-20s%-12s\n",$2,$3,$4}'
bash                4.2+dfsg-0.1        amd64       
bash-completion     1:2.0-1             all         

■shの参照先はdash

$ readlink /bin/sh
dash

■外部サービスを提供している場合、ロード中のプロセスに含まれる
 bashの文字列すべてが調査対象となる可能性がある。

$ sudo find /proc/*/exe -exec strings {} \; 2>&1 | grep bash | wc -l
144

■共有ライブラリの出力にbashが含まれていないこと。
 ただし、bashを別名で呼び出している場合は除く。

$ sudo strings /proc/*/maps | awk '{print $6}' | grep bash
/bin/bash
/bin/bash
/bin/bash
/usr/share/locale/ja/LC_MESSAGES/bash.mo

■回避策と対応
 こちらもRedhatの情報が詳しい。

 対応:脆弱性修正版へ更新
 回避:他シェル使用
    フィルタリング
    アクセス制限

 Mitigating the shellshock vulnerability (CVE-2014-6271 and CVE-2014-7169)
 https://access.redhat.com/articles/1212303

■フィルタリングについて
 iptablesの場合

# iptables -A INPUT -m string --algo bm --hex-string '|28 29 20 7B|' -j DROP
# ip6tables -A INPUT -m string --algo bm --hex-string '|28 29 20 7B|' -j DROP

■Apache2の「mod_security」を使用
 Redhatも回避ではなく、アップデートを推奨している。

 特別に作成された環境変数を使用した Bash コード挿入の脆弱性 (CVE-2014-6271)
 https://access.redhat.com/ja/articles/1210893

■フィルタリングしてもロード中のプロセスや共有メモリまで
 深く探っているとキリがないので、bashを含めてアップデートをしましょう。

$ grep security /etc/apt/sources.list
deb http://security.debian.org/ wheezy/updates main
deb-src http://security.debian.org/ wheezy/updates main

$ for opt in update upgrade autoremove autoclean ;do sudo apt-get $opt -y ;done
...
apt apt-utils bash libapt-inst1.5 libapt-pkg4.12 libnss3 libnss3-1d
...

■「changelog.Debian.gz」の確認

$ dpkg -L bash | grep change | xargs lv -z | grep "CVE-2014-7169\|CVE-2014-6271"
  * Add CVE-2014-7169.diff diff.
    CVE-2014-7169: Incomplete fix for CVE-2014-6271. (Closes: #762760, #762761)
  * Apply patch from Chet Ramey to fix CVE-2014-6271.

■「CVE-2014-6271」、「CVE-2014-7169」の対応後の確認。

$  bash -version | head -1
GNU bash, バージョン 4.2.37(1)-release (x86_64-pc-linux-gnu)

$ env x='() { :;}; echo Vulnerable CVE-2014-6271' bash -c "echo this is a test"
this is a test

$ env 'x=() { :;}; echo Vulnerable  CVE-2014-6271' 'BASH_FUNC_x()=() { :;}; echo vulnerable' bash -c "echo test"
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `BASH_FUNC_x'
test

$ export LANG=ja_JP.UTF-8; \
  env 'x=() { :;}; echo Vulnerable  CVE-2014-6271' 'BASH_FUNC_x()=() { :;}; echo vulnerable' bash -c "echo test"
bash: 警告: x: ignoring function definition attempt
bash: `BASH_FUNC_x' の関数定義をインポート中にエラーが発生しました
test

$ export LANG=C; env X='() { (a)=>\' bash -c "echo date"; cat echo
date
cat: echo: No such file or directory

■ロード中のプロセスや共有メモリにあるbashのためにシステムの再起動を推奨。

$ sudo shutdown -r now && exit