Will / sbin / nologin Protéger Apache de Bash Exploit CVE-2014-6271
Le 24 septembre 2014, il a été largement annoncé qu'il était possible de manipuler des variables d'environnement pour exécuter du code approximativement arbitraire sur des systèmes * nix où Bash était le shell par défaut. http://seclists.org/oss-sec/2014/q3/65
Selon l'article ci-dessus, les scripts CGI constituent un vecteur d'attaque majeur, car les variables CGI associées à une URL sont présentées à l'interface de passerelle commune sous la forme de variables d'environnement , c'est-à-dire . processus serveur (Apache dans mon cas) met les paramètres CGI dans l'environnement.
Sur mon installation particulière, Apache a un shell par défaut de/sbin/nologin/bien que le shell système par défaut soit/bin/bash.
Un tel système peut-il être exploité de la manière décrite? Sinon, comment puis-je le tester?
(Je sais que je dois remplacer le Bash Shell dès que possible; cela s'avère être un gros problème en raison de certaines personnalisations.)
(Si cela doit être migré vers ServerFault, veuillez le faire; je le pose ici car la question est spécifique aux programmes de serveur Web, et en particulier à Apache.)
Edit: Pas la réponse, mais cela peut aider les autres; il semble que la désactivation de mod_cgi atténue le problème, du moins dans une certaine mesure. https://securityblog.redhat.com/2014/09/24/bash-spuly-crafted-environment-variables-code-injection-attack/
Spécifier /sbin/nologin comme shell de connexion de l'utilisateur Apache n'empêche pas Apache de lancer bash. Cela empêche uniquement les connexions avec l'utilisateur destiné à exécuter uniquement le serveur Web.
Vous pourriez être intéressé par Comment sécuriser Apache contre la vulnérabilité de Bash Shellshock? à partir du site de sécurité StackExchange. Il suggère certaines solutions, telles que l'exécution d'Apache dans un environnement chroot avec une version corrigée de bash. Même si vous ne pouvez pas remplacer bash partout, vous pourrez peut-être le faire pour Apache.