„Bash“-Sicherheitslücke „Shellshock“ bedroht Rechner und Server mit Mac OS X und Linux

„Bash“-Sicherheitslücke „Shellshock“ bedroht Rechner und Server mit Mac OS X und Linux

Experten vergleichen die neu aufgetauchte Sicherheitslücke im Kommandozeilenprogramm „Bash“ bereits mit dem „Heartbleed“-Virus. Tatsache ist, dass der „Shellshock“ benannte Bug Computer gefährdet, die als Betriebssystem Unix oder Unix-ähnliche Software benutzen – wodurch unter anderem auch alle Apple-Computer mit OS X betroffen sind.

Eine deutliche und unmissverständliche Warnung vor der Sicherheitslücke in „Bash“ wurde vom United States Computer Emergency Readiness Team herausgegeben. Demnach könnte „Shellshock“ sogar noch gefährlicher sein als die im April aufgetauchte „Heartbleed“-Lücke. Denn während „Heartbleed“ lediglich zum Ausspionieren eines Rechners missbraucht werden konnte, sind die möglichen Gefahren eines „Shellshock“-Angriffs weit höher. Denn nicht nur Computerexperten nutzen „Bash“ für die Generierung von Kommandozeilen, das Programm agiert oft auch automatisch und unbemerkt im Hintergrund. „Bash“, die Abkürzung für „Bourne Again Shell“, ist eine 1989 erstmals veröffentlichte Software, über die Befehle an ein Betriebssystem ohne grafische Oberfläche, also direkt über die Tastatur, eingegeben werden. Durch die entstandene Schwachstelle könnte ein Angreifer nun Code-Fragmente in das Programm einfügen, die eine Unix- bzw. Unix-verwandte Software unmittelbar nach dem Start ausführen würde. Die Folgen liegen auf der Hand: Hacker erlangen so die vollständige Kontrolle über die betreffende Software und damit über den infizierten Computer.

Malware im „Internet der Dinge“

Von „Shellshock“ gefährdet sind vor allem Web-Server, aber eben auch Apple-PCs. In Mac OS X wird „Bash“ seit 2005 als Standard-Kommandozeile des Betriebssystems genutzt. Selbst Sicherheitsspezialisten haben bislang noch keinen Überblick darüber, an welchen Stellen „Shellshock“ überall Konsequenzen haben könnte – und das macht es eben zu einer viel gefährlicheren Virus-Variante als die eingrenzbare „Heartbleed“-Lücke. Vor allem im „Internet der Dinge“ sind die denkbaren Missbrauchsmöglichkeiten durch ein infiziertes „Bash“ kaum überschaubar. Denn für viele Peripheriegeräte, die ans Netz angeschlossen werden, wie etwa Kameras, gibt es aktuell keine Softwareaktualisierungsmöglichkeit. Andererseits können künftig eben auch solche Devices von Hackern über entstandene Sicherheitslücken leicht missbraucht und ausspioniert werden.

Ein Test schafft Klarheit

Über ein Kommandozeilenprogramm lässt sich feststellen, ob ein Rechner von „Shellshock“ infiziert ist. Wenn nach Eingabe der Zeile
env x='() { :;}; echo vulnerable‘ bash -c „echo this is a test“
das Wort „vulnerable“ auf dem Bildschirm angezeigt wird, ist das getestete Gerät von der Sicherheitslücke betroffen. Wird hingegen die Warnmeldung
„bash: error importing function definition for x“
ausgegeben, ist der Bug bereits behoben.

Fehlerhafter „Bash“-Code seit über 20 Jahren?

Der französische Linux-Spezialist Stephane Chazelas hat den Fehler in „Bash“ jetzt entdeckt. Wie lange die Lücke aber tatsächlich schon existiert – darüber kann bestenfalls spekuliert werden. Experten gehen inzwischen davon aus, dass der Fehler schon seit mehr als 20 Jahren Teil des Bash-Codes sein könnte. Während sie Anwendern raten, so schnell wie möglich Updates der Software-Anbieter zu installieren, wurden inzwischen auch in der korrigierten Version von „Bash“ schon wieder weitere Bugs gefunden. Diese sind zwar weit weniger schwerwiegend als die Fehler durch „Shellshock“, zeigen aber auch auf, wie weit die Auswirkungen des „großen Bruders von ,Heartbleed‘“ reichen – in einem Internet, das immer unsicherer und immer angreifbarer wird.

close

Neue Beiträge abonnieren!

Täglich frisch um 17 Uhr im Postfach

Themenauswahl

Änderungen jederzeit über die Abo-Verwaltung möglich – weitere Themen verfügbar

Jetzt kommentieren!

Schreibe einen Kommentar

*
*
Bitte nimm Kenntnis von unseren Datenschutzhinweisen.