シマンテックは9月29日、「Shellshock」と呼ばれる、Mac OS X、LinuxやUNIX系OSで使用されているシェル「Bash」の脆弱性について知っておくべきことをまとめて公開した。

この脆弱性は、「Bash Bug」「Shellshock」と呼ばれており、攻撃者がこの脆弱性の悪用に成功すると、標的のコンピュータからデータを盗み取ることができるだけでなく、そのコンピュータを制御してネットワーク上の他のコンピュータにアクセスできるおそれがある。

脆弱性を受けるのはアプリケーションから渡されたコマンドを実行する機能で、今回の脆弱性は攻撃者が環境変数に悪質なコードを追加することが可能なためで、その環境変数を受け取ると不正なコードが実行されてしまうというもの。

Bashを実行しているコンピュータはすべて脆弱性の影響を受ける可能性があるが、リモート攻撃者による悪用が可能なのは、悪質な環境変数をアプリケーションからBashに強制的に送信できる場合となる。

攻撃経路となる可能性が最も高いのは、動的な Web コンテンツ生成に広く使われている CGIを利用するWebサーバで、攻撃者はCGIを使って、脆弱なWebサーバに不正な形式の環境変数を送信できる。変数の解釈にはBashが使われるため、変数に追加されている悪質なコマンドも実行されてしまう。

正規の環境変数の末尾に悪質なコマンドを追加して最初に実行させる仕組み　資料:シマンテック

Web サーバ上でこの脆弱性の悪用に成功した場合、パスワードファイルがダンプされたり、侵害されたコンピュータにマルウェアがダウンロードされたりするおそれがある。

Linuxベースのルータの場合、Webサーバへの攻撃と同様の手口でCGIを使って脆弱性を悪用し、悪質なコマンドをルータに送信することが可能になる。

Mac OS X が実行されているコンピュータも、Appleから脆弱性に対するパッチがリリースされるまでは脆弱な可能性がある。OS Xに対する攻撃経路として最も可能性が高いのは、セキュア通信プロトコル「SSH」を介したものだが、攻撃を実行するには有効な SSHクレデンシャルを持っている必要がある。言い換えれば、攻撃者はSSHセッションに事前にログインしておく必要がある。

組み込みデバイスも、Bashが実行されている場合は脆弱な可能性があるが、最新のデバイスの多くはBashの代わりに BusyBoxというツールセットが実行されているという。

同社は、Web サイトの所有者や企業に対し、利用可能なパッチは迅速に適用するよう促している。なお、Red Hatでは最初のパッチは不完全だったとして、残っていた多数の問題に対する修正を含めてアドバイザリを更新している。

一般ユーザーに向けては、Mac OS Xを使用している場合、現在出荷されているOSには脆弱なバージョンのBash が含まれていることに注意し、OS X向けのパッチが提供されたら適用するようアドバイスしている。