La faille Bash Bug, annonçait la semaine dernière comme particulièrement grave, aurait été exploitée contre les géants de l’Internet Yahoo! et Lycos.
Un Bash est une commande qui se trouve sur l’OS Unix et qui autorise les utilisateurs à entrer un ordre sous forme de texte convertit en commande, à laquelle l’OS répondra. Il est présent sur Linux et MAC OS (OS X). Bash a été créé voilà 25 ans. Une faille de taille, baptisée Bash Bug ou encore Shellshock, a été découverte dans ce dernier en septembre. Sa dangerosité est comparée à la faille Heartbleed. Voilà quelques jours, un chercheur en sécurité informatique, Johnathan D. Hall, il est le responsable de Future South Technologies, a annoncé avoir découvert que des pirates avaient trouvé le moyen d’exploiter Bash Bug sur deux serveurs de Yahoo! (api118.sports.gq1.yahoo.com et dip4.gq1.yahoo.com). Il a découvert un chan IRC qui diffusait des serveurs faillibles au Bash Bug. Des serveurs mis à jour à partir de scripts malveillants cachés sur le web, dont un sur le site de la société WinZip Computing, la même qui produit le logiciel de compression WinZip. Yahoo a confirmé l’intrusion et enquête pour connaitre son importance. Yahoo! indique cependant que les pirates auraient exploité une autre faille.
Bash Bug plus grave que prévue ?
Cette vulnérabilité pourrait avoir des répercussions bien plus graves et importantes que Heartbleed. Ce dernier permettait « uniquement » à un pirate de voler des données via un processeur d’authentification (SSl/TLS). BashBug permet à des malveillants d’exécuter arbitrairement des commandes grâce à cette faille de sécurité. Ce qui est bien plus dangereux que de voler des données et réaliser des attaques sophistiquées. BashBug a la capacité de pénétrer le réseau de n’importe quelle entreprise, alors que Heartbleed organisait des attaques « aléatoires ». Le hacker devait faire plusieurs tentatives, au hasard, avant d’accéder à un serveur contenant des données ayant une valeur. BashBug est une faille beaucoup plus « agressive ». Dès qu’une cible est identifiée et vulnérable, une simple commande suffit pour exécuter un ordre malveillant. Avec Heartbleed, il était clair pour l’opinion publique que les données sensibles des utilisateurs est un enjeu, alors que l’impact du Shellshock pour n’importe quel utilisateur est encore flou. Shellshock est une faille « technique » qui préoccupera davantage la communauté Technique. De plus, il n’est pas aisé de détecter quelles applications utilisent Bash.
Les différentes cibles de BashBug
Pour les entreprises, la plus grande menace est si vos serveurs sont opérés par Linux. Aujourd’hui c’est un standard de sécurité pour les entreprises de séparer leurs serveurs web de ceux qui contiennent des données sensibles, ce qui diminue significativement les risques d’intrusion via la faille Bash. Ces serveurs ont beaucoup d’autres mécanismes de défenses qui préviennent contre les attaques de BashBug.
Pour les particuliers, Heartbleed a représenté un risque potentiellement élevé et immédiat pour les particuliers, car les données bancaires et mots de passe statiques pouvaient être interceptés par les pirates. Dans le cas de la faille Bash, il est peu probable que les hackers s’attaquent à de simples ordinateurs à usage privé, car il existe des méthodes d’attaque bien plus puissantes, déjà utilisées et à grande échelle. Il s’agit notamment des attaques de type phishing, malware ou encore social engineering.
