Ubuntu-fr

Compte anonymisé

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

Vla l'historique des versions :
https://projects.archlinux.org/svntogit … kages/bash

Kieran

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

Je ne suis pas chez Linux depuis peu, j'ai testé les principales versions, et si Linux en est actuellement à 1,60% et quelques chez les PC, c'est en partie à cause du sectarisme bien connu de certains barbus, bien visible sur ce topic, windowsien... troll... nous insulte (sic), bref que de l'avenir comme d'habitude, alors que la disparition d'XP n'a absolument rien rapporté, continuez! c'est bien...

Pas près de réinstaller Linux, manque de sensations.

Bon écoutes, t'es gentil mais maintenant, tu arrêtes de troller, d'une part, c'est pas le sujet pour ça comme ça a été dit précédemment donc ouvre un sujet genre "windows c'est mieux que linux"  et ponds de vrais arguments solides et avec des sources (parce que là t'es pas crédible) et d'autre part ça devient lourd.

ssdg

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

ça devient lourd.

Tu as lu ma position, peut être diminuerait-on de moitié le bruit en ignorant le problème ?

---

s'il n'y a pas de solution, c'est qu'il n'y a pas de problème... ou pas.

PPdM

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

Va  voir son profil tu comprendras !!

---

La critique est facile, mais l'art est difficile !
L'humanité étant ce qu'elle est, la liberté ne sera jamais un acquit, mais toujours un droit à défendre !
Pour résoudre un problème commence par poser les bonnes questions, la bonne solution en découlera

ljere

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

Bonjour,
merci d'éviter le HS,
le sujet est «Faille de sécurité dans bash»
merci de le respecter.

Cordialement,
ljere

---

ancien PC Toshiba satellite_c670d-11 / Linux Mint 21 Vanessa
Nouveau PC ASUS TUF GAMING A17 GPU RTX 4070 CPU AMD Ryzen 9 7940HS w/ Radeon 780M Graphics / Linux Mint 21.2 Victoria / Kernel: 6.4.8-1-liquorix / Desktop: Cinnamon

Kieran

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

ça devient lourd.

Tu as lu ma position, peut être diminuerait-on de moitié le bruit en ignorant le problème ?

je pense que c'est ce que je vais faire. Désolé.

Va  voir son profil tu comprendras !!

je vais voir.

yann_001

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

Va  voir son profil tu comprendras !!

Le tien ou le mien  c'est pas mieux. Allez stop comme a dit ljere
.
le sujet est «Faille de sécurité dans bash»
merci de le respecter.

nam1962

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

Envoyez le là : http://forum.ubuntu-fr.org/viewtopic.ph … #p18220721 le Pator75..
Il pourra troller à l'aise

---

[ Modéré ]

Pator75

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

http://www.silicon.fr/faille-shellshock … d=noscript

http://www.numerama.com/magazine/30825- … rates.html

ps: Yann bien reçu ton message merci.

SangokuSS

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

Petite interrogation : les spécialistes ont-ils une idée depuis combien de temps cette faille est exploitée ? (j'ai lu rapidement les 14 pages du post, mais rien vu sur ce point qui me semble bien plus essentiel que la manière de corriger, dans le sens où maintenant que les corrections arrivent, il faudrait faire un bilan des conséquence, non ?)

yann_001

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

Bonjour SangokuSS.

On ne peut pas savoir réellement depuis quand la faille est exploitée. En général lorsque qu'un hackeur trouve une faille il évite de l’ébruiter.
Et beaucoup d'admin si ils ne connaissent pas une faille possible ne lisent pas certains logs.

Perso j'ai un serveur en local et les logs font 3 pages à chaque fois que je m'en sers.

Les conséquences peuvent être multiples dès lors que l'on peut avoir un accès admin à un système.
Détournement, dépôt de fichiers, relais, etc.

Dernière modification par yann_001 (Le 07/10/2014, à 10:40)

voxpopuli

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

Et ben, même apache est dans le collimateur: http://packetstormsecurity.com/files/12 … xec.rb.txt
L'attaque se fait via l'UserAgent, je vais tenter divers trucs sur mes servers histoire de pouvoir détailler cette méthode et ptete trouver un moyen temporaire de la bloquer sans foutre en l'air les algo basé sur l'UA.

voici une petite liste non exhaustive de service touché:
https://www.dfranke.us/posts/2014-09-27 … ctors.html

Dernière modification par voxpopuli (Le 07/10/2014, à 11:27)

---

« Si la destinée ne nous aide pas, nous l'aiderons nous même à se réaliser !  »
$Wold.Action.Boot();

yann_001

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

Oui Apache via le mode cgi c'est pas nouveau. La faille été corrigé depuis.
Il y avait ça aussi http://korben.info/php-cgi-une-faille-d … s-php.html
Postfix, OpenSHH, et bien d'autres sont des applications qui peuvent ou pouvaient être exploitées depuis les failles de Bash.

Dernière modification par yann_001 (Le 07/10/2014, à 11:35)

voxpopuli

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

Pour SSH tant que l'attaquant ne prend pas le contrôle d'un des utilisateurs normalement c'est clean (d'après tout se que j'ai lu tout du moins).

---

« Si la destinée ne nous aide pas, nous l'aiderons nous même à se réaliser !  »
$Wold.Action.Boot();

yann_001

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

Un attaquant avec la faille prendra le contrôle du compte admin.

Dernière modification par yann_001 (Le 07/10/2014, à 11:49)

Compte anonymisé

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

Si les connexions SSH sont désactivé, ça doit être bon, nan ?

voxpopuli

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

Un attaquant avec la faille prendra le contrôle du compte admin.

A moins que tu fasses tourner des comptes root avec un passe facile a bruteforcer, l'attaquant n'aura pas un compte root par magie. Il est bien plus probable qu'il trouve un compte oublié ou bien laissé avec un pass par défaut puis ensuite et seulement il pourra tenter l'élévation de privilège.
La faille ne s'applique qu'une fois qu'on a accès a ton serveur, bref qu'on est déjà loggé (dans le cas de SSH).

Dernière modification par voxpopuli (Le 07/10/2014, à 12:00)

---

« Si la destinée ne nous aide pas, nous l'aiderons nous même à se réaliser !  »
$Wold.Action.Boot();

yann_001

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

Si les connexions SSH sont désactivé, ça doit être bon, nan ?

Oui si le service est complétement désactivé et le seul moyen c'est de le désinstaller.
Sinon lors de l'attaque le hack démarrera le service.

Dernière modification par yann_001 (Le 07/10/2014, à 12:03)

yann_001

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

A moins que tu fasses tourner des comptes root avec un passe facile a bruteforcer

Tu n'as pas compris la faille. Elle permet d'utiliser un compte Root sans demande de MDP.
C'est pour cela que c'est dangereux.

bref qu'on est déjà loggé

T'as pas besoin d’être loggé pour que l'attaque se fasse et réussisse si la faille n'a pas été comblée.

voxpopuli

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

SSH ne permet pas de faire passer des commandes sans qu'un utilisateur soit loggé, tu ne peux donc exploiter la faille que si tu es déjà loggé...
Après si tu veux pousser la sécurité tu peux fermer le port de SSH, ne l'autoriser que sur l'ip 127.0.0.1 et ensuite faire passer son traffic par Tor qui va augmenter le niveau de complexité de l'attaque suffisamment pour qu'un noob choisisse une autre cible plus facile.
Perso la faille d'apache me fait plus peur car je ne comprend pas a quel niveau apache est censé lire cette variable (me semblait que s'était php qui traitait l'affichage de l'user agent)

A moins que tu fasses tourner des comptes root avec un passe facile a bruteforcer

Tu n'as pas compris la faille. Elle permet d'utiliser un compte Root sans demande de MDP.
C'est pour cela que c'est dangereux.

Je suis en train d'essayer sur mes serveurs, je donnerais plus d'infos dés que faire ce pourra

Si les connexions SSH sont désactivé, ça doit être bon, nan ?

Oui si le service est complétement désactivé et le seul moyen c'est de le désinstaller.
Sinon lors de l'attaque le hack démarrera le service.

Euh... Un service désactivé n'est pas censé être activable depuis l'extérieur (a part avec un système de port knocking et encore, on privilégie des règle de parefeu pour le port knocking). Si un attaquant est capable de lancer ssh, alors il a déjà accès au root sur la machine et dispose déjà de tout les accès.

Dernière modification par voxpopuli (Le 07/10/2014, à 12:21)

---

« Si la destinée ne nous aide pas, nous l'aiderons nous même à se réaliser !  »
$Wold.Action.Boot();

yann_001

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

SSH ne permet pas de faire passer des commandes sans qu'un utilisateur soit loggé, tu ne peux donc exploiter la faille que si tu es déjà loggé...

Là tu n'as vraiment pas compris.
Une des failles bash permet d'avoir accès au compte root sans mdp.  Pour faire simple ça donne accès à tout le système
Et tu pleures sur une faille apache qui utilise un module que tu n'as probablement pas installé.

Dernière modification par yann_001 (Le 07/10/2014, à 12:24)

yann_001

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

Euh... Un service désactivé n'est pas censé être activable depuis l'extérieur

Ah bon c'est nouveau. T'as pas compris le principe d'une faille.

Dernière modification par yann_001 (Le 07/10/2014, à 12:26)

voxpopuli

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

Une faille c'est un accès dans un logiciel, pas une porte d'ali baba qui s'ouvre par magie en crachant de plein nez sur les mathématiques La faille se situe dans Bash, pas dans OpenSSH et donc si t'es comptes SSH sont sécurisé avec des pass solides tu es tranquille: https://fr.wikipedia.org/wiki/Shellshoc … erveur_SSH

Pour choper SSH (autre que DDOS) sans compromettre un compte il faudrait trouver une faille au niveau de l'implémentation du protocole.

Dernière modification par voxpopuli (Le 07/10/2014, à 12:39)

---

« Si la destinée ne nous aide pas, nous l'aiderons nous même à se réaliser !  »
$Wold.Action.Boot();

ljere

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

déjà il faut que ssh soit activé, ensuite si ssh est bien sécurisé root ne peut pas se loguer directement,
de plus il y a la box à passer perso je rajoute une redirection de port donc une attaque sur le port 22 ne servira à rien,
pour finir pour exploiter cette faille il faut au minimum te loguer sur mon compte,
bon courage avec fail2ban tu n'as que 3 essais puis ban d'un an.

Dernière modification par ljere (Le 07/10/2014, à 15:20)

---

ancien PC Toshiba satellite_c670d-11 / Linux Mint 21 Vanessa
Nouveau PC ASUS TUF GAMING A17 GPU RTX 4070 CPU AMD Ryzen 9 7940HS w/ Radeon 780M Graphics / Linux Mint 21.2 Victoria / Kernel: 6.4.8-1-liquorix / Desktop: Cinnamon

jplemoine

Re : Faille de sécurité dans bash (mis à jour 12/10/2014)

bon courage avec fail2ban tu n'as que 3 essais puis ban d'un an.

--> Je ne pense pas que ce soit les valeurs par défaut... De mémoire, c'est plus permissif..

---

Membre de l'ALDIL (Association Lyonnaise pour le Développement de l'Informatique Libre)
- En pro, après 20 ans de développement, administrateur Linux / Unix depuis Avril 2019.
- En privé, sous Ubuntu-Xubuntu depuis 2009.
Déconnecté jusqu’à nouvel ordre