Parece que o recém descoberto Shellshock, bug que afeta a interface de comandos Bash em sistemas Unix (Linux e OS X), ainda vai dar muito o que falar. O especialista em segurança Jonathan Hall descobriu que hackers romenos obtiveram acesso a dois servidores do Yahoo, explorando justamente a falha.
Além do Yahoo, servidores do Lycos e do WinZip também foram invadidos, mas o Yahoo parece ter sido o principal alvo. Os hackers chegaram a explorar a rede em busca de pontos vulneráveis que os permitissem acessar o serviço Yahoo!Games, o qual possui milhões de usuários.
Hall entrou em contato com o Yahoo após descobrir o problema e antes de publicar sua descoberta, e a empresa posteriormente afirmou que não existe nenhuma evidência de que dados dos usuários foram comprometidos.
“… isolamos um punhado de nossos servidores impactados e, neste momento, não temos evidência de comprometimento dos dados dos usuários. Estamos focados em fornecer a experiência mais segura possível aos nossos usuários no mundo todo, e estamos trabalhando continuamente para proteger os dados de nossos usuários“, disse um representante do Yahoo.
O especialista em segurança também descobriu que os hackers estavam utilizando servidores do WinZip (pelo que tudo indica, também vulneráveis) para tentar localizar outros servidores vulneráveis.
“Esta brecha afeta a TODOS nós, de uma maneira ou outra, e é crucial que este problema seja resolvido com urgência“, disse Jonathan Hall, que também comunicou o FBI a respeito de suas descobertas.
Considerado por muitos como o pior bug de todos os tempos, o Shellshock permite que comandos “extras” sejam enviados e executados através de scripts CGI, por exemplo (uma das diversas maneiras de se gerar conteúdo dinâmico em páginas web).
Tais comandos, claro, não fazem parte do código dos scripts, e o bug agora chamado de Shellshock permite solicitações indevidas, as quais deveriam ser barradas pelo Bash, o que, é claro, não ocorre. Ele permite que pessoas mal intencionadas consigam, por exemplo, listar o conteúdo de um diretório, e este é somente o menor dos problemas.
Um dos grandes problemas é o fato de que a falha parece já ter vários anos de existência, e a quantidade de servidores afetados provavelmente é enorme. Mas, claro, para que o ataque obtenha êxito, o sistema deve estar vulnerável. Administradores devem sempre ficar atentos e atualizar o Bash assim que possível.
