close
資訊保安

比 Heartbleed 更危險 Bash 被揭露大型漏洞波及範圍更廣

各位 unwire.pro 讀者還記得數月前爆出的嚴重資安漏洞 Heartbleed 嗎?雖然 Heartbleed 在被揭發後的一段時間內已在多方合力之下被修補,但世上總有着千萬種不同的漏洞。日前就有研究人員揭發一種威脅可媲美 Heartbleed 的大型漏洞。

shellshock-1

 

破壞力較 Heartbleed 更大

據資安部落格 Errata Security 指,普遍被稱為 Bash 的漏洞正名應為「shellshock」的漏洞可與 Heartbleed 媲美的原因大致有兩點;一為其新形感染方式,導致受影響裝備的清單遲遲未完,情況就有如當時 Heartbleed 出現半年後,仍相繼有服務與裝置被發現可透過 Heartbleed 駭入;二為基於不少裝置地在推出市場不久後,廠方就減慢、甚至停止對其進行支支援,導致不少日常生活中會被忽略的電子產品 – 如網絡鏡頭往往會成為導致問題引伸至現實生活的元兇。

而近年發展越見成熟的物聯網更為最受 shellshock 所影響的一種技術,因為大部份現時的物聯網裝置 – 如上文曾提及的網絡鏡頭所應用的軟件大部分都以 Bash 碼寫成,而有見同類型裝備的市場地位,廠商為它們提供大型更新的可能性亦不見得高,從而令黑客可大舉利用此漏洞為所欲為。

令是次情況更為嚴峻的是,Heartbleed 的影響力只局限於指定版本的 OpenSSL,但為 bash 已被沿用已久,所以是次資安事件受影響的範圍將更廣泛,若然運用得宜,後果可謂不堪設想。

各位 unwire.pro 讀者現時需要擔心的不是服務的主要伺服器,因為服務供應商現時大多應已忙於修補此漏洞;相反,部份在日常中不補特別重視的裝置,如網絡鏡頭、路由器等才需要資安人員的即時關注。

Source:Errata Security

 

Tags :BashheartbleedInternet of ThingsiotShellshock物聯網
Getter

The authorGetter

Leave a Response