سنگین بوش کی خرابی حملہ آوروں کو لینکس اور میک کمپیوٹرز کو ہائی جیک کرنے دیتی ہے

سیکیورٹی ماہرین نے بتایا کہ باش میں ایک بگ دریافت ہوا جو بڑے پیمانے پر استعمال ہونے والا کمانڈ ترجمان ہے ، یونکس اور لینکس سسٹم کے لئے سلامتی کا ایک خطرہ ہے۔ اور کہیں ایسا نہ ہو کہ آپ اس مسئلے کو محض سرور کا مسئلہ ہونے کی وجہ سے برخاست کرنے کا لالچ میں ہوں گے ، یاد رکھیں کہ میک OS X نے باش کو استعمال کیا ہے۔ بہت سے ماہرین نے خبردار کیا ہے کہ یہ ہارٹلیڈ سے بھی بدتر ہوسکتا ہے۔

اکامائی میں یونکس اور لینکس نیٹ ورک اور ٹیلی کام ایڈمنسٹریٹر ، اسٹیفن چیزلاس کے مطابق ، باش کے بیشتر ورژن 1.1 سے لے کر 4.3 تک کا خطرہ موجود ہے ، جس نے پہلے اس مسئلے کا انکشاف کیا۔ ہوم لینڈ سیکیورٹی کے محکمہ میں کمپیوٹر ایمرجنسی رسپانس ٹیم (سی ای آر ٹی) نے ایک انتباہ میں خبردار کیا ہے کہ اگر استحصال کیا گیا تو ، اس خطرے سے دور دراز ہیکر متاثرہ سسٹم پر بدنیتی کوڈ پر عمل درآمد کرنے کی اجازت دے سکتا ہے۔ NIS کمزور ڈیٹا بیس نے اس مسئلے کو 10 میں سے 10 کو شدت کے لحاظ سے درجہ بندی کیا ہے۔

ریپڈ 7 کے انجینئرنگ مینیجر ، ٹوڈ بیرڈسلی نے کہا ، "یہ خطرہ امکانی طور پر ایک بہت بڑی چیز ہے۔

خطرے کا انحصار اس بات سے ہے کہ باش ماحولیاتی متغیرات کو کس طرح سنبھالتا ہے۔ جب کسی متغیر کو فنکشن تفویض کرتے ہیں تو ، تعریف میں کسی بھی اضافی کوڈ کو بھی انجام دے دیا جائے گا۔ لہذا تمام حملہ آور کو کسی نہ کسی طرح اس تعریف میں ایک کمانڈ کو شامل کرنا ہے۔ یہ ایک کلاسک کوڈ-انجیکشن حملہ ہے۔ اور وہ متاثرہ مشین کو دور سے اغوا کرسکیں گے۔ شازیلز اور دیگر محققین جنہوں نے اس خامی کو دیکھا ہے اس نے تصدیق کی ہے کہ اگر کوڈ کو ماحولیاتی متغیرات میں داخل کیا جاتا ہے تو یہ آسانی سے فائدہ مند ہوتا ہے ، جیسے اوپن ایس ایچ ایس ڈی ایس ڈی میں فورس کامیڈ کی خصوصیت ، اپاچی ایچ ٹی ٹی پی سرور میں موڈ_ سی سی اور موڈ_ سی جی آئی ڈی ماڈیولز ، یا اسکرپٹس جس نے اس کو متعین کیا ہے۔ ڈی ایچ سی پی صارفین کے لئے ماحول۔

کلاؤڈ سیکیورٹی الائنس کے چیف ایگزیکٹو ، جم ریویس ، نے ایک بلاگ پوسٹ میں لکھا ، "لینکس اور دیگر یونیکس سسٹم پر بہت بڑی تعداد میں پروگرام ماحولیاتی متغیرات قائم کرنے کے لئے باش کا استعمال کرتے ہیں جو اس کے بعد دوسرے پروگراموں کو چلانے کے دوران استعمال کیے جاتے ہیں۔"

ناگزیر دلی موازنہ

اس خطرے سے دو چیزوں پر غور کریں: دنیا بھر کے ڈیٹا مراکز کے ساتھ ساتھ بہت سارے آلات میں سرایت کرنے والے لینکس / یونکس سرور بڑے پیمانے پر استعمال ہوتے ہیں۔ کمزوری سالوں سے موجود ہے۔ چونکہ باش بہت وسیع ہے ، ہارٹلیڈ کے ساتھ موازنہ ، اوپن ایس ایچ میں جو خطرہ اپریل میں واپس دریافت کیا گیا تھا وہ ناگزیر ہے۔ اراٹا سیکیورٹی کے رابرٹ گراہم نے پہلے ہی خامی شیل شاک کو ڈب کیا ہے۔

لیکن کیا یہ ہارلیڈڈ 2 ہے؟ یہ بتانا تھوڑا مشکل ہے۔ یہ یقینی طور پر ایک سنجیدہ مسئلہ ہے ، کیونکہ یہ حملہ آوروں کو کمانڈ شیل تک رسائی فراہم کرتا ہے ، جو اس مشین پر اپنی مرضی کے مطابق کرنے کے قابل ہونے کا سنہری ٹکٹ ہے۔

آئیے سائز کے لحاظ سے سوچیں۔ دنیا میں ویب سائٹ کی زبردست اکثریت اپاچی ویب سرورز کو طاقت دیتی ہے۔ جیسا کہ ہم نے ہارٹلیڈ کے دوران سیکھا ، بہت ساری نان لینکس / یونکس مشینیں موجود ہیں جو اوپن ایس ایچ اور ٹیلنیٹ کا استعمال کرتی ہیں۔ اور DHCP ہمارے لئے نیٹ ورک کو چلانے اور بند کرنے میں آسانی پیدا کرنے میں معاون ہے۔ اس کا مطلب یہ ہے کہ کمپیوٹرز اور سرور کے علاوہ ، یہ بھی ممکن ہے کہ دوسرے ایمبیڈڈ سسٹم ، جیسے راؤٹر ، بھی ہائی جیکنگ کا خطرہ ہوں۔ اراٹا سیکیورٹی کے گراہم - جنہوں نے ابھی تک مسئلے کا بہت گہرا تجزیہ کیا ہے - نے کچھ اسکین کیے اور اسے آسانی سے کچھ ہزار کمزور سرور مل گئے ، لیکن اس مسئلے کی وسعت کا اندازہ لگانا اس وقت قدرے مشکل ہے۔

تاہم ، اوپن ایس ایل کا ایک کمزور ورژن انسٹال کرکے ہی ہارٹلیڈ فلا موجود تھا۔ یہ بگ اتنا سیدھا نہیں ہے۔

بیرڈسلی نے کہا ، "یہ اتنا آسان نہیں جتنا 'باش چلاتے ہو۔' انہوں نے کہا کہ مشین حملہ کرنے کے خطرے سے دوچار ہونے کے لئے ، ایک ایپلی کیشن (جیسے اپاچی) صارف ان پٹ (صارف-ایجنٹ ہیڈر کی طرح) لینے اور اسے ماحولیاتی متغیر (جس میں سی جی آئی اسکرپٹ کرتی ہے) میں ڈالنے کی ضرورت ہے۔ انہوں نے کہا کہ عام طور پر جدید ویب فریم ورک متاثر نہیں ہوں گے۔

یہی وجہ ہے کہ گراہم نے کہا کہ جبکہ شیل شاک ہارٹلیڈ کی طرح سخت ہے ، "اس مسئلے کو جلدی اور ٹھیک کرنے کی ضرورت نہیں ہے۔ آپ کے بنیادی سرور شاید اس بگ کا خطرہ نہیں ہیں۔"

لیکن اس سے پہلے کہ ہم راؤٹرز اور ایمبیڈڈ ڈیوائسز (اور انٹرنیٹ کے آف تھنگ) کے بارے میں معلومات حاصل کریں ، ذہن میں رکھیں کہ تمام سسٹم باش کو استعمال نہیں کرتے ہیں۔ اوبنٹو اور دوسرے ڈیبیئن سے ماخوذ نظام ڈیش کے نام سے ایک مختلف کمانڈ مترجم استعمال کرسکتے ہیں۔ کسمپرکی لیب کے ایک سینئر محقق ، روئل شوینبرگ نے ٹویٹر پر کہا ، ایمبیڈڈ آلات اکثر بسی بکس کے نام سے استعمال کرتے ہیں ، جو کمزور نہیں ہوتا ہے۔

کمزور ہے یا نہیں؟

آپ درج ذیل کمانڈز (CSA کے ذریعہ فراہم کردہ کوڈ) چلا کر چیک کرسکتے ہیں کہ آیا آپ کمزور ہیں یا نہیں۔ ایک ٹرمینل ونڈو کھولیں اور $ اشارہ پر درج ذیل کمانڈ درج کریں:

env x = '() {:؛}؛ بازگشت کمزور 'باز-سی "بازگشت یہ ایک امتحان ہے"

اگر آپ کمزور ہیں تو یہ پرنٹ کرے گا:

کمزور

یہ ایک امتحان ہے

اگر آپ نے باش کو اپ ڈیٹ کیا ہے تو آپ صرف دیکھیں گے:

یہ ایک امتحان ہے

عام طور پر ، میں یہ کہوں گا کہ آگے بڑھیں اور ابھی پیچ لگائیں ، لیکن اس سے پتہ چلتا ہے کہ دستیاب پیچ مکمل نہیں ہیں۔ ریڈ ہیٹ نے آج صبح کہا کہ باش کو پیچ کرنے کے بعد بھی ماحولیاتی متغیر کے ذریعے کمانڈ انجیکشن کرنے کے طریقے موجود ہیں۔ اگر آپ کے پاس صرف ایک مٹھی بھر مشینیں ہیں ، تو یہ آگے بڑھنے اور دستیاب پیچ کو استعمال کرنے کے قابل ہوسکتی ہے ، لیکن اگر آپ کے پاس ہزاروں مشینیں پیچ کرنے کے لئے ہیں ، تو شاید یہ مزید چند گھنٹوں کا انتظار کرنے کے قابل ہے۔ تمام upstream Linux تقسیم (اور امید ہے کہ ایپل!) ابھی ایک درست کام پر کام کر رہے ہیں۔

"یاد رکھنا ، یہاں تک کہ اگر آپ نے اس سے پہلے باش کے بارے میں کبھی نہیں سنا ہے ، یا اسے نہیں چلاتے ہیں ، تو آپ کے کمپیوٹر پر بہت اچھا سافٹ ویئر چل سکتا ہے جو باش کے عمل کو فروغ دیتا ہے ،" آزاد سیکیورٹی کے مشیر گراہم کلیلی نے کہا۔