Abo
  • Services:
Anzeige
Alle sechs Fehler im Bash-Funktionsparser wurden behoben.
Alle sechs Fehler im Bash-Funktionsparser wurden behoben. (Bild: Screenshot)

Shellshock: Alle Bash-Lücken gepatcht

Die jüngsten Patches für Bash beheben jetzt alle Lücken im Funktionsparser, die zu Shellshock und diversen Varianten geführt haben. Sicherheitskritisch sind die letzten Updates jedoch nicht mehr.

Anzeige

Der Bash-Entwickler Chet Ramey hat neue Versionen herausgegeben, die nun sämtliche Fehler beheben, die im Zusammenhang mit Shellshock bekannt geworden sind. Für Bash 4.3 steht das Patchlevel 030 bereit, für Bash 4.2 das Patchlevel 053. Auch für diverse ältere Bash-Versionen stehen Updates bereit.

Nach dem Bekanntwerden der Bash-Sicherheitlsücke Shellshock war schnell klar, dass der ursprüngliche Patch nicht alle Fehler beheben würde. Inzwischen sind insgesamt sechs Sicherheitslücken im Parser von Bash aufgetaucht. Besonders die letzte von Michal Zalewski entdeckte Lücke sorgte für Aufsehen, denn sie lässt sich genauso leicht wie die ursprüngliche Shellshock-Lücke ausnutzen.

Sicherheitskritisch sind die jüngsten Patches nicht mehr. Nachdem klar wurde, dass der Funktionsparser von Bash mehrere Probleme hat, wurde von Redhat-Entwickler Florian Weimer ein Patch erstellt, der den Import von Funktionen nur noch mit einem festen Pre- und Suffix erlaubt. Dieser Patch oder Varianten davon wurden inzwischen von fast allen Linux-Distributionen und von OS X übernommen. Auch die offiziellen Bash-Releases enthalten eine Variante dieses Patches.

Ursprünglich konnte man in Bash Funktionen einfach importieren, indem man eine beliebige Variable mit der Definition der Funktion füllte. Das sah beispielsweise so aus:

env x="() { echo test;}" bash -c x

Mit einer neuen Bash-Version ist das nicht mehr möglich, die Funktionsvariable muss mit BASH_FUNC_ beginnen und mit %% enden:

env "BASH_FUNC_x%%"="() { echo test; }" bash -c x

Durch diese Prefix-Variante sind die Lücken im Funktionsparser nur noch als gewöhnliche, harmlose Bugs anzusehen, von denen kein Sicherheitsrisiko ausgeht. Behoben wurden sie nun trotzdem alle.

Vom Autor dieses Artikels wurde ein Testscript namens bashcheck erstellt, welches Bash auf alle sechs bekannten Lücken testet. Das Skript überprüft auch, ob der wichtige Prefix/Suffix-Patch installiert ist.


eye home zur Startseite
niabot 06. Okt 2014

Der Angreifer kann sich den Variablennamen nicht frei aussuchen. Diese Variablen werden...

friendlybaker 06. Okt 2014

unbekannte lücken zu patchen ist auch nicht gerade einfach



Anzeige

Stellenmarkt
  1. Bertrandt Technikum GmbH, Ehningen bei Stuttgart
  2. Daimler AG, Stuttgart
  3. T-Systems International GmbH, Leinfelden-Echterdingen, Bonn, Bremen, Hamburg, München
  4. ADG Apotheken-Dienstleistungsgesellschaft mbH, Berlin


Anzeige
Spiele-Angebote
  1. 49,99€ (Vorbesteller-Preisgarantie)
  2. 59,99€ (Vorbesteller-Preisgarantie) - Release 02.08.
  3. 149,99€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Tipps für IT-Engagement in Fernost
  2. Sicherheitskonzeption für das App-getriebene Geschäft
  3. Mehr dazu im aktuellen Whitepaper von IBM


  1. Microsoft

    Gamertag verfällt bei Nichtnutzung

  2. SE730

    Adata will die kleinste externe SSD der Welt haben

  3. Volata Bike

    Computer im Fahrradlenkervorbau und Elektroschaltung

  4. Blincam

    Brillenkamera löst beim Blinzeln aus

  5. Case Remote Air

    WLAN-Fernbedienung für DSLRs entwickelt

  6. China

    Dropbox-Alternative Seafile im Streit mit Mutterkonzern

  7. Verizon Communications

    Yahoo hat einen Käufer gefunden

  8. Deutschland

    Preiserhöhung bei Netflix jetzt auch für Bestandskunden

  9. Künstliche Intelligenz

    Softbank und Honda wollen sprechendes Auto bauen

  10. Alternatives Android

    Cyanogen soll zahlreiche Mitarbeiter entlassen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Schwachstellen aufgedeckt: Der leichtfertige Umgang mit kritischen Infrastrukturen
Schwachstellen aufgedeckt
Der leichtfertige Umgang mit kritischen Infrastrukturen
  1. Vodafone EasyBox 804 Angeblich Hochladen von Schadsoftware möglich
  2. Cyber Grand Challenge Finale US-Militär lässt Computer als Hacker aufeinander los
  3. Patchday Sicherheitslücke lässt Drucker Malware verteilen

Miniscooter: E-Floater, der Elektroroller für die letzte Meile
Miniscooter
E-Floater, der Elektroroller für die letzte Meile
  1. Leistungsschutzrecht Kollateralschäden eines unsinnigen Gesetzes
  2. Relativity Space Raketenbau ohne Menschen
  3. Besuch bei Senic Das Kreuzberger Shenzhen

Pokémon Go im Test: Hype in der Großstadt, Flaute auf dem Land
Pokémon Go im Test
Hype in der Großstadt, Flaute auf dem Land
  1. Pokémon Go Monsterjagd im Heimatland
  2. Pokémon Go Verbraucherschützer reichen Abmahnung gegen Niantic ein
  3. Nintendo auf dem Smartphone Pokémon Go Out!

  1. Re: Canti oder Scheibe?

    Scr | 10:01

  2. Re: Ein Bezahlmodell pro Volumen wäre doch sinnvoll

    Lügenbold | 09:58

  3. deutscher Kleingeist

    Lügenbold | 09:54

  4. Warum können die Hersteller das nicht selber?

    subjord | 09:51

  5. Re: Kindergarten?

    Mithrandir | 09:50


  1. 10:07

  2. 09:11

  3. 08:31

  4. 07:42

  5. 07:25

  6. 15:30

  7. 14:13

  8. 12:52


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel