Shellshock – Vérifiez l’intégrité de vos systèmes GNU/Linux, BSD et Mac OS X

Plop et tout d’abord merci à tous et à toutes pour vos messages de soutien, suite au dernier édito. J’y reviendrai dans un autre billet. Sachez quand même que cela m’a (très sincèrement) fait chaud au cœur et surtout que la personne concernée, à savoir ma mère, m’a sommé de ne pas vous laisser sans rien. Je me suis fait engueuler (copieux) quand elle a su que je ne publiais plus rien et m’a sommé de m’y remettre fissa fissa (selon ces termes). Oui, elle est plutôt Funky ma maman. Et même si elle ne pèse que 40 kilos, il ne vaut mieux pas s’y frotter :)

Alors je reprends un peu le mulot pour vous parler de Shellshock, qui si vous n’avez pas suivi l’histoire est une faille (découverte par Stéphane Chazelas) permettant à un utilisateur malveillant de compromettre  et de prendre le contrôle de systèmes Linux, BSD et Mac OS X, utilisant Bash comme interpréteur de commande. Je ne vais pas tenter de la détailler ici car je ne suis pas assez calé, mais si ça vous intéresse les gens de linuxfr.org ont publié un article très bien détaillé, comme eux seuls savent le faire. Si vous le souhaitez par contre, voici deux tests rapides vous permettant de vérifier l’intégrité de votre système, afin de savoir s’il est vulnérable ou non.

Test 1 :

Le premier test consiste a entrer la ligne de commande suivante :

x='() { :;}; echo vulnerable' bash -c "echo ceci est un test"

Si vous obtenez le retour suivant, c’est que tout va bien :

ceci est un test

Si vous voyez celui-ci en revanche, c’est que votre système est faillible :

vulnerable
ceci est un test

Test 2 :

Le second test (qui pour la petite histoire vise à pallier l’insuffisance d’un premier correctif) consiste à entrer la commande suivante :

cd /tmp; rm -f echo; env 'x=() { (a)=>\\' bash -c "echo date"; cat echo

Si tout va bien vous devriez obtenir le message suivant :

cat: echo: Aucun fichier ou dossier de ce type

Conclusion :

Dans les faits vous ne devriez pas avoir de soucis à vous faire si vous effectuez régulièrement vos mises à jour, ce qui nous ne le répéterons jamais assez souvent est primordial. Si ce n’est pas encore fait il est grand temps de faire chauffer vos terminaux et d’effectuer un update.

Amusez-vous bien.