Bash Shell di GitHub per Windows è vulnerabile a Shellshock. Può fare del male però?

Question

Bash Shell di GitHub per Windows è vulnerabile a Shellshock. Può fare del male però?

#1 da (24 voti)

21

Dopo che è scoppiata la notizia della vulnerabilità di Shellshock, mi sono ricordato che avevo installato la versione di GitHub di una shell bash per Windows. Solo per vedere se avesse anche la vulnerabilità, ho eseguito:

env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

E tornato:

vulnerable
this is a test

Tuttavia, essendo un sistema Windows, qualcosa di malizioso può essere fatto dalla shell bash di GitHub, oltre a fare casino con i miei repository?

(GitHub v2.0.6.0 130c781) (GitHub v2.4.0.12 34d40b7)

modifica:

env x='() { :;};' bash -c "vi foldername/filename"

Confermando questo puoi modificare i file di sistema di Windows.

windows bash shellshock

posta cptncrnch 25.09.2014 - 19:06

fonte

1 risposta

Leggi altre domande sui tag windows bash shellshock

Problemi di sicurezza con l'inoltro X11 Devo disabilitare la compressione SSL a causa di CRIME?

score 24 · Accepted Answer

Sono uno sviluppatore di GitHub per Windows - stiamo monitorando da vicino la mailing list di msysgit per il progresso su questo, ma crediamo al momento che non c'è alcun modo di sfruttarlo nella shell di GitHub, perché c'è nessuna escalation di privilegi (cioè puoi solo hackerarti)

Siamo decisamente alla ricerca di scenari in cui questo non sia il caso, e se ne troveremo uno sposterà sicuramente un aggiornamento al più presto.

Aggiornamento: abbiamo eliminato una versione che risolve le vulnerabilità note di Bash menzionate nei recenti CVE. Saremo alla ricerca anche di problemi futuri.