Para aquellos que no se han enterado, desde ayer todos los sysadmin del mundo estamos tratando de parchar todos los servers bajo nuestra supervisión debido a una vulnerabilidad muy grave de bash reportada por Stéphane Chazelas que afecta a todo sistema Unix/Linux, podría permitir en teoría a cualquier atacante remoto ejecutar programas en el shell desde scripts CGI y usando vulnerabilidades locales escalar privilegios hasta root, con lo cual el servidor queda expuesto por completo a los hackers. Arstechnica reportó hace pocos minutos que ya existe un gusano que está explotando esta vulnerabilidad.
Por favor todos a parchar los servidores, especialmente si usan control panel como CPanel, Plesk o ISPConfig, ya que todos estos paneles de control ofrecen acceso a CGI.
Cómo se si mi sistema es vulnerable, pues básicamente si ejecutas este comando en el shell:
env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
Y obtienes esta respuesta:
vulnerable this is a test
Si tu sistema no es vulnerable obtendras esta respuesta:
bash: warning: x: ignoring function definition attempt bash: error importing function definition for `x' this is a test
El parche para los sistemas con RedHat/Centos es básicamente hacer un "yum upgrade bash". Para Ubuntu todo se resuelve con un "sudo apt-get update && sudo apt-get upgrade". Lamentablemente para Debian, sólo existe un parche para Wheezy (Debian 7.0), si aún usas Squeeze (Debian 6.0) la única manera de parcharlo es agregando el repositorio squeeze-lts (aún experimental), pero la única alternativa por el momento.
Si tu sistema usa Debian 6.0 (Squeeze), aquí está lo que debes de tipear para parcharlo:
apt-get install debian-keyring debian-archive-keyring echo "deb http://http.debian.net/debian/ squeeze-lts main contrib non-free" >> /etc/apt/sources.list.d/security.sources.list echo "deb-src http://http.debian.net/debian/ squeeze-lts main contrib non-free" >> /etc/apt/sources.list.d/security.sources.list apt-get update apt-get upgrade
Espero que esta información les sea de utilidad.
UPDATE: Si quieren comprobar si el servidor web donde hostean su web es vulnerable a un ataque de este tipo purden usar esta herramienta:
http://shellshock.brandonpotter.com/
Casi todas las universidades en el Perú tienen al menos una facultad de Ingeniería de Sistemas, Informática, Computación o Ciencias de la Computación, si no ha sido posible que las universidades se pongan de acuerdo en el nombre de la carrera profesional, mucho menos fue posible que estas se pongan de acuerdo en los contenidos. Es más existen universidades en donde el mismo perfil profesional tiene dos nombres diferentes, un caso que conozco de primera mano porque estudié alli es la Universidad Nacional Pedro Ruiz Gallo de la ciudad de Lambayeque en donde existe una carrera profesional de Ingeniería de Sistemas y otra de Computación e Informática. Sin embargo a pesar de la casi omniprescencia de esta carrera profesional y la iniciativa de 