Shellshock, 2014’te CVE-2014-6271 ile açıklanan ve Unix türevi sistemlerin yaygın komut kabuğu Bash’i etkileyen bir zafiyettir. Kusur, Bash’in ortam değişkenlerine gömülü fonksiyon tanımlarını ayrıştırma biçiminde yatar. Bash, böyle bir değişkeni işlerken fonksiyon tanımının bittiği yerde durmaz; tanımdan sonra eklenmiş komutları da çalıştırır. Bu davranış, saldırgana kontrol ettiği bir değişken üzerinden komut yerleştirme imkânı verir.

Shellshock, Bash’in bir ortam değişkenine gizlenmiş fonksiyon tanımının ardına eklenen komutları da çalıştırması nedeniyle uzaktan kod çalıştırmaya yol açan bir zafiyettir.

Kusur Nasıl Tetiklenir?

Shellshock’u tehlikeli kılan, Bash’in doğrudan değil dolaylı biçimde çağrılabilmesidir. Birçok sunucu bileşeni, gelen isteklerin başlıklarını ortam değişkenlerine kopyalayıp bir Bash betiği başlatır. Saldırgan, örneğin bir HTTP isteğinin User-Agent başlığına özel biçimde hazırlanmış bir değer koyduğunda, bu değer sunucu tarafında bir ortam değişkenine dönüşür ve arka planda Bash çağrıldığı anda içindeki komut çalışır. Böylece saldırgan hiç kabuğa doğrudan erişmeden uzaktan komut yürütür. Bu tür girdi kaynaklı yürütme noktalarının tespiti, uygulamanın dış girdilerle sınandığı bir web uygulama sızma testi ile mümkün olur.

Etkilediği Yüzey

Zafiyetin geniş etkisi, Bash’in yaygınlığından kaynaklanır. Web sunucularının eski CGI betikleri, DHCP istemcileri, bazı SSH yapılandırmaları ve otomasyon araçları arka planda Bash’e dayandığından, saldırı yüzeyi tek bir uygulamayla sınırlı kalmadı. Özellikle CGI kullanan web sunucuları, dış istekleri doğrudan ortam değişkenlerine aktardıkları için en açık hedeflerdi.

Tespit ve Tarama

Bir sistemin etkilenip etkilenmediği, Bash’e özel hazırlanmış bir test değişkeni verip fazladan komutun çalışıp çalışmadığını gözlemleyerek anlaşılabilir. Kurumsal ölçekte ise açık örneklerin geniş envanterde bulunması, düzenli bir zafiyet tarama süreciyle sağlanır; bu tarama, güncellenmemiş Bash sürümlerini ve savunmasız CGI uç noktalarını görünür kılar.

Korunma

Çözüm, Bash’in ortam değişkeni ayrıştırmasını düzelten güncel sürümlerine geçmektir. İlk yama tam kapsamadığından art arda düzeltmeler yayımlandığı için, hepsinin envanterdeki her sisteme ulaştığını doğrulayan sağlam bir yama yönetimi süreci belirleyicidir. Ek olarak, dış istek verilerini doğrudan kabuğa aktaran eski CGI mimarilerinin daha güvenli çalışma zamanlarıyla değiştirilmesi kalıcı bir iyileştirmedir.

İnternete açık bir sunucuda Shellshock istismar izleri görüldüğünde saldırganın komut çalıştırma yeteneğini kullanıp kullanmadığının, arka kapı bırakıp bırakmadığının araştırılması gerekir. Bu değerlendirme için olay inceleme ve olay müdahalesi çalışması, sistemin gerçekten temiz olup olmadığını ortaya koyar.