Say hello to the bash bug, a lesson in why Internet-connected devices are inherently unsafe

Stephane Chazelas ผู้จัดการ IT ชาวฝรั่งเศษในสก๊อตแลนด์ได้ค้นพบช่องโหว่ใน Bash shell (CVE-2014-6271) ซึ่งเป็นโปรแกรมในระบบปฏิบัติการ Unix/Linux ที่ส่งคำสั่งจากผู้ใช้ไปยังระบบปฏิบัติการของอุปกรณ์ที่ต้องการควบคุม ช่องโหว่นี้มีใน Bash shell ทุกรุ่นจนถึงรุ่นล่าสุด 4.3

นอกจากคอมพิวเตอร์ระบบปฏิบัติการ Unix/Linux ที่ได้รับผลกระทบนี้ ยังมีอุปกรณ์อื่นๆที่เป็น “Internet of Things” เช่น หลอดไฟ, กล้อง security, TV, เครื่องคิดเลข, และ รถยนต์ ที่เสี่ยงต่อการถูกโจมตี
Akamai ได้ออกมายืนยันว่าช่องโหว่นี้มีอยู่จริง และ มีมานานแล้ว (ประมาณ 22ปี) ช่องโหว่นี้เกิดจากการจัดการ environment variables ใน Bash ไม่ถูกวิธี และไม่ปลอดภัย ซึ่งแฮกเกอร์สามารถใช้ช่องโหว่นี้ในการฝังคำสั่งไปยัง environment variables แล้วจะถูกรันโดย Bash ในภายหลัง ดังนั้นแฮกเกอร์สามารถรันคำสั่งใดๆ ก็ได้ภายใต้สิทธิ์ที่รันคำสั่ง bash ซึ่งทำให้เว็บไซต์ที่มีการคอนฟิก CGI-scripts ไว้เช่น mod_cgi ตกอยู่ในความเสี่ยง

คำแนะนำวิธีแก้มีดังนี้

1. อัพเกรด bash ด้วยแพตช์ที่แก้ช่องโหว่นี้ หรือ เปลียนไปใช้ shell อื่นเช่น Dash ชั่วคราว
2. สำหรับ SSH server, ควรที่จะทำการตรวจดูว่าบุคคลใดควรที่จะมีสิทธ์ในการเข้าถึงระบบที่สำคัญ และ ยกเลิกสิทธ์ที่ไม่จำเป็นออกจากระบบจนกว่าจะมีการอัพเกรด Bash
3. สำหรับ Web Applications, CGI ที่เรียกคำสั่งไปยัง Bash shell ควรปิดชั่วคราวจนกว่าจะมีการอัพเดทแพตช์ หรือใช้ Web Application Firewall (WAF) ในการควบคุมการเข้าใช้ Web application

ที่มา : CNNMoney