<p>Une faille critique vient d'être trouvé dans bash : l'article sera plus explicite que moi.<br/><br/>
 </p>
<p></p><p><b>Un ingénieur dénommé <a data-ipb="nomediaparse" href="http://stephane.chazelas.free.fr/Stephane-CHAZELAS-2010.html" rel="external nofollow">Stéphane Chazelas</a> a révélé hier une faille de sécurité de grande envergure, appelée Bash bug ou Shellshock, susceptible de permettre à n'importe qui d'exécuter des commandes sur toutes sortes d'ordinateurs et d'appareils.</b><br/><br/>
Bien qu'il soit techniquement complètement différent, sur le papier le Bash bug est au moins aussi grave que la faille <a data-ipb="nomediaparse" href="http://pro.clubic.com/it-business/securite-et-donnees/actualite-695188-heartbleed.html" rel="external nofollow" title="Heartbleed : retour sur la vuln�rabilit� qui agite le Web"> Heartbleed</a> qui a fait la une il y a six mois. La faille vient du Bourne-Again Shell (Bash), auquel on peut effectivement faire exécuter des commandes dans des contextes dans lesquels ce devrait être impossible, en définissant des variables d'environnement en l'occurrence.<br/><br/>
La ligne de commande servant de preuve de concept est assez explicite, même pour un profane :</p>
<pre class="ipsCode prettyprint">
env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
</pre>
<p>La commande est supposée définir une fonction Bash, mais le shell exécute en fait aussitôt les commandes qui lui sont apposées, alors qu'il ne devrait pas. Dans cet exemple on se contente de retourner du texte, mais on pourrait exécuter n'importe quelle autre commande.<br/>
 </p>
<div style="text-align:center;"><a data-ipb="nomediaparse" href="http://img.clubic.com/07643617-photo-bash-bug.jpg" rel="external nofollow" title="bash bug"><img alt="015E000007643617-photo-bash-bug.jpg" src="<base_url>/applications/sslimageproxy/interface/image.php?url=http://img.clubic.com/015E000007643617-photo-bash-bug.jpg"/></a></div>
<p>Or Bash est l'interpréteur de commandes par défaut de nombreux systèmes d'exploitation Linux et Unix (dont OS X), il est par conséquent sollicité à de nombreuses occasions, potentiellement par un serveur Web.<br/><br/>
Dans certains cas un internaute peut donc exécuter des commandes et saboter un serveur ou obtenir des informations auxquelles il n'aurait pas accès autrement. Le bug ne permet pas d'obtenir d'élévation des privilèges, le périmètre est donc limité dans la plupart des cas. Mais un serveur DHCP malveillant par exemple peut transmettre des variables et donc faire exécuter des commandes à un ordinateur personnel lorsqu'il se connecte au réseau, or le client DHCP bénéficie souvent des droits administrateur (root).<br/><br/>
Fort heureusement sur le marché des objets connectés, de nombreux produits reposent sur BusyBox, une distribution Linux allégée intégrant un shell différent, baptisé « Almquist shell » (ash).<br/><br/>
Une nouvelle version corrigée de Bash a immédiatement été publiée. Elle est d'ores et déjà proposée par la plupart des distributions Linux, telles que Debian, Ubuntu, Red Hat ou Fedora. Les utilisateurs sont invités à mettre à jour leur système dès que possible. Mais <a data-ipb="nomediaparse" href="https://twitter.com/taviso/status/514887394294652929" rel="external nofollow">certains experts en sécurité</a> soulignent qu'elle ne comble que partiellement la faille. Il y aura donc des suites ces prochains jours, que nous ne manquerons pas de relayer.</p>
<p></p><p>Source : <a data-ipb="nomediaparse" href="http://pro.clubic.com/it-business/securite-et-donnees/actualite-729331-shellshock-bash-bug-faille-critique-linux-os-x.html" rel="external nofollow">http://pro.clubic.com/it-business/securite-et-donnees/actualite-729331-shellshock-bash-bug-faille-critique-linux-os-x.html</a></p>

]]>https://melinyel.net/topic/1107/faille-critique-dans-les-terminauxRSS for NodeWed, 02 Sep 2026 05:05:14 GMTFri, 26 Sep 2014 06:59:59 GMT60<p>Debian avait fail le patch, Ubuntu vient d'appliquer la patch dans son repo. </p>

]]>https://melinyel.net/post/11760https://melinyel.net/post/11760Sat, 27 Sep 2014 20:07:25 GMT<p>Faille patchée il y a quelques jours.</p>
<p>apt-get update && apt-get upgrade les enfants </p>

]]>https://melinyel.net/post/11746https://melinyel.net/post/11746Sat, 27 Sep 2014 16:01:29 GMT