防堵史上最大資安漏洞「Shellshock」，精誠資安中心提供快速檢查工具與建議

【2014年9月29日，台北訊】

被美國國家網路安全辦公室稱為有史以來最嚴重的資安漏洞「Shellshock」，至今全球有使用到Unix或Linux 相關作業系統的伺服器，估計都已經暴露在被駭的風險中，目前已經傳出有數個旅遊網站受駭。精誠資安中心建議任何有使用相關作業系統的用戶應儘速測試主機是否存在「Shellshock」漏洞，並立即著手進行加強與改善的措施。

精誠資訊產品技術服務處資深處長賴來忠表示，「在資訊安全的範疇中，漏洞問題一直都是資訊安全中主要的隱性風險，依照精誠服務客戶的經驗看來，高達九成以上的企業都有這樣的風險存在。我們建議企業在面對漏洞處理的議題應該採行更為主動的心態來面對，平日養成固定使用像是McAfee Vulnerability Manager弱點安全評估工具的習慣，持續找出所有網路或伺服器設備的漏洞根源，並根據專業資安顧問的建議與做法，具體實施，防範於未然，才能從根本有效降低企業商業損失的風險。」

精誠資訊資安中心顧問廖本凱表示，「Shellshock漏洞問題幾乎涵蓋所有的Unix/Linux相關設備，其中影響最大的是網頁伺服器，有心人士只要利用系統中的Bourne Again Shell程序（簡稱Bash），進行惡意操作，即可跳過權限檢查竊取企業機敏資料。建議資訊管理人員應該立即透過指令檢查主機是否存在「Shellshock」漏洞，或是透過資安廠商所提供的免費檢測工具，快速針對相關伺服主機進行檢查。http://www.checkpoint.com/blog/protecting-shellshock/index.html。」

此外，對於已經擁有新世代IPS(Intrusion Prevention System)入侵防禦系統設備的用戶，如：McAfee NSP(Network Security Platform) 或者是Check Point IPS等，可以於第一時間收到新的威脅特徵訊息，在第一時間進行緊急防護；所以資訊管理人員可以將重點放在進行後端的Unix/Linux設備漏洞修補工作。如果企業並沒有建置新世代IPS等設備進行即時防護的話，也可透過下載網路技術領導廠商A10 Networks所提供應用程式來阻擋Shellshock漏洞。http://www.a10networks.com/vThunder_trial/

Bash是一個指令列shell （殼層）程式，目前市面上常見的作業系統如MAC OS X和Linux/ UNIX操作系統皆有提供Bash的程序，而Bash也是最常見的公用程式之一，因此，資安專家認為「Shellshock」漏洞是僅次於「Heartbleed」漏洞以來，影響的層級與範圍最深的漏洞威脅。目前已知「Shellshock」會影響到的作業系統包含：

• Ubuntu 10.04 LTS, 12.04 LTS, and 14.04 LTS
• Debian
• Mac OS X
• GNU Bash through 4.3
• Linux, BSD, and UNIX distributions including but not limited to:
• Red Hat Enterprise Linux (versions 4 through 7) and the Fedora distribution
• CentOS (versions 5 through 7)