bagaimana shellshock dapat dieksploitasi melalui SSH?

Rupanya, shellshock Bash mengeksploitasi CVE-2014-6271 dapat dieksploitasi melalui jaringan melalui SSH. Saya bisa membayangkan bagaimana eksploitasi akan bekerja melalui Apache / CGI, tetapi saya tidak bisa membayangkan bagaimana itu akan berhasil di SSH?

Bisakah seseorang memberikan contoh bagaimana SSH akan dieksploitasi, dan kerusakan apa yang dapat terjadi pada sistem?

KLARIFIKASI

AFAIU, hanya pengguna yang diautentikasi yang dapat memanfaatkan kerentanan ini melalui SSH. Apa gunanya exploit ini untuk seseorang, yang memiliki akses sah ke sistem? Maksud saya, eksploitasi ini tidak memiliki eskalasi hak istimewa (dia tidak bisa menjadi root), jadi dia tidak bisa melakukan lebih dari yang bisa dia lakukan setelah hanya masuk secara sah melalui SSH.

Salah satu contoh di mana ini dapat dieksploitasi adalah di server dengan authorized_keysperintah paksa. Saat menambahkan entri ke ~/.ssh/authorized_keys, Anda dapat mengawali baris dengan command="foo"untuk memaksa foodijalankan kapan saja kunci publik ssh digunakan. Dengan exploit ini, jika shell pengguna target diatur bash, mereka dapat mengambil keuntungan dari exploit untuk menjalankan hal-hal selain dari perintah yang mereka dipaksa.

Ini mungkin lebih masuk akal sebagai contoh, jadi inilah contohnya:

sudo useradd -d /testuser -s /bin/bash testuser
sudo mkdir -p /testuser/.ssh
sudo sh -c "echo command=\\\"echo starting sleep; sleep 1\\\" $(cat ~/.ssh/id_rsa.pub) > /testuser/.ssh/authorized_keys"
sudo chown -R testuser /testuser

Di sini kami mengatur pengguna testuser, yang memaksa koneksi ssh menggunakan kunci ssh Anda untuk berjalan echo starting sleep; sleep 1.

Kami dapat menguji ini dengan:

$ ssh testuser@localhost echo something else
starting sleep

Perhatikan bagaimana kita echo something elsetidak dijalankan, tetapi starting sleepmenunjukkan bahwa perintah yang dipaksakan berjalan.

Sekarang mari kita tunjukkan bagaimana exploit ini dapat digunakan:

$ ssh testuser@localhost '() { :;}; echo MALICIOUS CODE'
MALICIOUS CODE
starting sleep

Ini berfungsi karena sshdmengatur SSH_ORIGINAL_COMMANDvariabel lingkungan ke perintah yang diberikan. Jadi meskipun sshddijalankan sleep, dan bukan perintah yang saya suruh, karena exploit, kode saya tetap dijalankan.

Memperluas contoh dari Ramesh - jika Anda menggunakan otentikasi dua faktor, dimungkinkan untuk memotong faktor kedua menggunakan eksploit ini, tergantung pada bagaimana penerapannya.

- Login Normal -

[10:30:51]$ ssh -p 2102 localhost
password:
Duo two-factor login

Enter a passcode or select one of the following options:

 1. Duo Push to XXX-XXX-XXXX
 2. Phone call to XXX-XXX-XXXX
 3. SMS passcodes to XXX-XXX-XXXX (next code starts with: 2)

Passcode or option (1-3): 1

Pushed a login request to your device...
Success. Logging you in...
[server01 ~]$ logout

- Menjalankan kode tanpa 2FA -

[10:31:24]$ ssh -p 2102 localhost '() { :;}; echo MALICIOUS CODE'
password:
MALICIOUS CODE

Anda akan melihat itu menjalankan kode tanpa meminta 2FA.

- Setelah menambal pesta -

[10:39:10]$ ssh -p 2102 localhost '() { :;}; echo MALICIOUS CODE'
password:
bash: warning: SSH_ORIGINAL_COMMAND: ignoring function definition attempt
bash: error importing function definition for `SSH_ORIGINAL_COMMAND’

Shellshock adalah kerentanan pada bash, bukan pada SSH. Untuk mengeksploitasinya, penyerang perlu menyebabkan sistem yang rentan untuk menjalankan bash, dan untuk mengontrol nilai variabel lingkungan yang akan diteruskan ke bash.

Untuk mencapai proses bash melalui SSH, penyerang perlu melewati langkah otentikasi. (Mungkin ada vektor serangan melalui layanan jaringan lain, tetapi mereka berada di luar cakupan utas ini.) Jika akun tetap menjalankan perintah shell sewenang-wenang, tidak ada serangan. Kerentanan berperan jika akun dibatasi untuk menjalankan perintah tertentu: misalnya, akun khusus SFTP, atau akun khusus git, dll.

Ada beberapa cara untuk membatasi akun untuk menjalankan perintah tertentu dengan SSH: dengan ForceCommandopsi di sshd_config, atau dengan a command=. pembatasan dalam authorized_keysfile. Jika shell pengguna adalah bash, maka kerentanan Shellshock memungkinkan pengguna yang biasanya hanya memiliki akses ke akun terbatas untuk melewati batasan dan menjalankan perintah sewenang-wenang.