Bash-bug, criptonite per Linux

Bash-bug, i sistemi operativi Windows sono immuni, ma se di fronte ai suoi attacchi i firewall di Unix si sciolgono come burro e la rete della Internet of things diventa una groviera il danno è fatto comunque. Ѐ recente, infatti, l’ufficialità di una scoperta che non farà dormire sonni tranquilli agli esperti di It security e ai Cio in azienda: Bash-bug appunto, ovvero una vulnerabilità che ha covato in Rete per lungo tempo e che ora sembra esplosa in tutta la sua potenziale distruttività, avendo identificato e “sfondato” le vulnerabilità dei sistemi operativi Unix based.
Ma come funziona il bug che alcuni commentatori già definiscono più grave del famigerato Heartbleed? Tenendo fede alle analisi eseguite dal ricercatore di sicurezza Robert David Graham di Errata Security, si tratterebbe di un “buco” che, se opportunamente sfruttato da un attaccante, permette di eseguire codice arbitrario non appena la shell viene invocata, lasciando così aperta la possibilità di portare un’ampia varietà di attacchi; il problema non sarebbe limitato solamente a computer, server o dispositivi di rete ma anche, e soprattutto, all’universo “Internet of Things”, dal momento che spesso il rilascio di patch per questo genere di dispositivi avviene lentamente.

Insomma, il rischio è che si verifichi una situazione simile a quanto causato nel 2003 da SQL Slammer, un worm che, propagandosi ad effetto domino in 12 minuti, ha portato ad un pesante rallentamento del traffico su Internet. La differenza sostanziale, però, risiede nel fatto che SQL Slammer faceva uso solo di alcune porte specifiche, mente la vulnerabilità Shellshock può essere sfruttata con qualsiasi porta.

Attualmente sono già state distribuite patch per i sistemi operativi CentOS, Debian, Redhat e Ubuntu. Apple ha riconosciuto il problema, comunicando ufficialmente di essere al lavoro per realizzare una patch correttiva, sebbene le varie community abbiano sollevato qualche dubbio sull’efficacia delle patch rilasciate: sembrano essere più un tentativo di prendere tempo prima di trovare una soluzione definitiva.