比 Heartbleed 更嚴重的漏洞 威脅 Linux 作業系統

日前出現一個新的漏洞，威脅多個版本的 Linux 和 Unix 作業系統（包括 Mac OS X 在內）、路由器和物聯網（Internet of Things，IOT）上的設備。Bash 是一個用來命令解讀程式（command language interpreter），用戶只要將指令輸入到一個簡單、文本（text-based）視窗，作業系統便會按指令運作。
此漏洞嚴重情況較 4 月的 Heartbleed 更甚。因為如果成功利用這個稱為「Bash Bug」或「Shellshock」的漏洞，攻擊者不僅可取得目標電腦的控制權，並可繼而進入其他在受影響網路上的電腦。

攻擊模式
雖然該漏洞有可能影響到任何一台以 Bash 運作的電腦，但它只能讓遠程攻擊者在某些情況下利用。要成功攻擊，攻擊者需要強制應用程式將惡意環境變數發送至 Bash。

攻擊最有可能通過被廣泛使用的 Common Gateway Interface（CGI）網路伺服器進行。攻擊者可能會利用 CGI，發送一個畸形的環境變數至低防護的網路伺服器。因為伺服器使用 Bash 解讀這些變數，它自然會同時操作任何附帶的惡意指令。

攻擊者一旦成功利用該網路伺服器上的漏洞，便可下載惡意程式到受感染的電腦，並可突破受害人電腦的防火牆，感染網路上的其他電腦。

多個版本的 Linux 和 Unix 操作系統，包括 Mac OS X 都有可能受到攻擊。以 Bash 運作的物聯網和嵌入式設備，如路由器亦可能受到威脅。然而，許多較新的設備都以一套稱為 BusyBox 的工具取代 Bash 運作，因此不受此漏洞影響。

大家可以從以下的圖解簡單了解 Bash Bug 漏洞的資料。

對各企業及消費者的建議
「Bash Bug」漏洞對企業，尤其是經營網站業務的構成最大威脅。攻擊者可以存取他們的數據，並入侵其網路。有保安廠商建議企業及消費者均應立即應用所有供應商提供的修補方案。Linux 供應商已對新發現的漏洞修補。如果某些 Linux 或 Unix 版本無法修補漏洞，建議用戶暫時轉換到其他的 shell。Apple Mac OS X 的用戶剛應該留意目前操作系統易受 Bash 攻擊，一旦 Apple 公布修補方案，用戶應立即進行修補。

一般使用者：留意廠商的修補程式通知並立即更新。

IT 系統管理員：若您有 Linux 系統，請立即升级BASH至最新版本。

網站管理員：若您在程序檔中使用了 Bash，那麼請盡快進行修補或者改用其他類似 Bash 的工具重新撰寫程序檔。

代管服務的客戶：詢問您的廠商打算如何解決並修補這項問題。