Bash-komentotulkissa ilmennyt lukuisia haavoittuvuuksia

Shellshock-haavoittuvuus käsittää tällä hetkellä kuusi yksilöityä haavoittuvuutta. Tilanne kehittyy jatkuvasti, joten mahdollisia uusia päivityksiä kannattaa seurata aktiivisesti.

Keskiviikkona 24.9. julkisuuteen tullut Shellshock-nimellä tunnettu haavoittuvuus käsittää tällä hetkellä kuusi yksilöityä haavoittuvuutta (CVE). Uusia haavoittuvuuksia on löytynyt, kun Bash-komentotulkkia on tutkittu aktiivisesti ensimmäisen haavoittuvuuden löytymisen jälkeen. Myös haavoittuvuuksien hyväksikäyttöön on vapaasti saatavissa monia eri menetelmiä. Bash-komentotulkki on saanut useita korjauksia uusien haavoittuvuuslöydösten myötä, ja tällä hetkellä sen tuorein yleisessä jakelussa oleva versio on viikonlopulta. On mahdollista että haavoittuvuuksia löytyy edelleen, joten uusia päivityksiä kannattaa seurata aktiivisesti.

Kahdelle uusimmalle haavoittuvuudelle on annettu yksilöivä CVE-tunnus, mutta niiden sisältö on pidetty toistaiseksi salaisena haavoittuvuuskoordinoinnin vuoksi. Vielä ei ole tiedossa korjaako viikonloppuna julkaistu Bash-päivitys myös nämä haavoittuvuudet, mutta luultavasti se ainakin estää niiden hyväksikäytön useimmissa tilanteissa.

Maailmalla Shellshock-haavoittuvuutta on hyväksikäytetty aktiivisesti. Sen avulla on esimerkiksi levitetty haittaohjelmia, asennettu takaportteja ja valjastettu suuria määriä tietokoneita palvelunestohyökkäyksiä tekeviksi bottiverkoiksi. Kyberturvallisuuskeskuksella ei kuitenkaan ole tietoja onnistuneesta haavoittuvuuden hyväksikäytöstä Suomessa, mutta sen sijaan hyökkäysyrityksistä on runsaasti havaintoja.

Kyberturvallisuuskeskus on koonnut haavoittuvan Bash-komentotulkin sisältävien ohjelmisto- ja laitetoimittajien julkaisemat tiedotteet haavoittuvuustiedotteeseen. Haavoittuvuustiedotetta päivitetään, jos uusia Shellshockille alttiita laitteita ilmenee.

Lisätietoja:

Varoitus 02/2014

Haavoittuvuus 106/2014

Tietoturva nyt! 29.9. Ohje Shellshock-haavoittuvuuden testaamiseen Ubuntu-käyttöjärjestelmillä

Tietoturva nyt! 25.9. Shellshock-haavoittuvuutta hyödynnetään aktiivisesti