Die Aufregung war gross: Der OpenSSL-Bug Heartbleed hat die Internet-Gemeinschaft in Angst und Schrecken versetzt. Man soll keine sensible Daten im Internet übermitteln, sagte der Bund damals. Nun geistert eine nächste grosse Lücke umher: Shellshock. Einige halten sie für gravierender als Heartbleed.

Der französische Entwickler Stephane Chazelas hat die Sicherheitslücke in "Bash" entdeckt. Mit dem Shellshock, manchmal auch Bash, getauften Bug lässt sich Schadcode aus der Ferne ausführen. Bash ist die Standard-Shell auf den meisten Unix-Betriebssystemen und wird bei fast allen Linux-Distributionen und BSD-Varianten eingesetzt. Auch das auf BSD-basierende OS X von Apple ist betroffen.

Laut Chazelas lässt sich in Umgebungsvariablen Code einfügen, der beim Start einer neuen Shell ungeprüft ausgeführt wird. Am meisten exponiert seien Websites. Aber auch E-Mail- und Cloud-Dienste könnten angreifbar sein. Ein denkbares Angriffsszenario sind GET-Requests über HTTP, da CGI laut den Bash-Entwicklern frei definierbare Inhalte des Requests in Umgebungsvariablen schreibt. Ein weiterer möglicher Angriffsvektor ist OpenSSH.

OpenSSH und CGI-Skripte sind aber nur zwei mögliche Angriffsvektoren - andere Szenarien sind denkbar. Ein Update ist somit insbesondere Serveradministratoren, aber auch allen anderen Nutzern von Linux und anderen Unix-Systemen mit Bash zu empfehlen: Für die aktuelle Bash-Version 4.3 steht der Patch 025 bereit, für Bash 4.2 der Patch 048.

Ob das eigene System verwundbar ist, findet man laut Red Hat heraus, indem man in Bash den folgenden Befehl ausführt: env x='() { :;}; echo vulnerable' bash -c "echo this is a test". Heisst es dann vulnerable, ist die Shell verwundbar.

Patches für Bash stehen nun bereit und sowohl Ubuntu als auch Red Hat und Debian haben mit der Verteilung einer neuen Bash-Version begonnen. Fedora und OpenSuse arbeiten ebenfalls daran, die Sicherheitslücke zu schliessen. Bis jetzt hat sich der Bund dazu noch nicht geäussert. (lvb)