Shellsock o el alarmismo en estado puro.

Shellsock es el nombre dado al bug recientemente descubierto que afecta a Bash, que es el intérprete de comandos usado por muchos sistemas Unix y Unix-like (por Unix-like se entiende a los sistemas operativos basados en Unix), como Linux y OS X. Dicho bug reside en la forma en que Bash procesa variables de entorno dictadas por el sistema operativo o bien por un programa que llama a un script. Si Bash está configurado como el intérprete de comandos por defecto puede ser usado por crackers contra servidores y otros dispositivos Unix y Linux vía web, SSH, telnet o cualquier otro programa que ejecute scripts en Bash.

Ahora bien, como este bug se ha descubierto en Linux, el alarmismo está servido (¿habrá quizás intereses creados en desprestigiar a Linux?). ¿Por qué? Principalmente porque si bien el bug tiene su gravedad, ésta reside en la capacidad de afectación teórica que tiene tiene este bug (cerca del 51 % de todos los servidores web del mundo funcionan con Linux) más que en su teórico uso como un vector de ataque (pero claro, como ha sido descubierto en Linux...).

Hay que pararse a pensar en lo siguiente:

1. Linux es el sistema operativo más estable y seguro que existe.


2. Debido a que Linux es un sistema operativo de código abierto tiene una gran comunidad de programadores trabajando cada día en hacerlo más estable y seguro. En el caso de un bug, esto se traduce en que la publicación del parche que lo corrige es rapidísima, de tal manera que en el mejor de los casos dicho bug solamente puede ser explotado durante unos pocos minutos, por ejemplo. Shellsock no es una excepción (de hecho, las mayores distribuciones de Linux ya cuentan con un parche que lo soluciona desde hace tiempo).


3. Si bien el 51 % de los servidores web del mundo funcionan con Linux, no todas las distribuciones de Linux, tanto para servidores como para escritorio, usan Bash como intérprete de comandos; lo cual reduce drásticamente la cantidad de dispositivos que se pueden ver afectados por éste bug. Y si a éso le añadimos que en el mercado de consumo Linux ocupa el 2 % del nicho de mercado, la cantidad de dispositivos que se puedan ver afectados por Shellshock se reduce mucho más drásticamente aún.


4. La escalada de privilegios en Linux es sumamente difícil, y para que Shellshock pueda ocasionar los mayores daños se necesitarían permisos de administrador o de sistema.

¿Cómo podemos saber si nuestro sistema es vulnerable?

La forma de saber si nuestra distribución de Linux puede verse afectada por Shellshock es muy sencilla: simplemente nos bastará abrir la terminal de nuestra distribución y ejecutar la siguiente línea de comandos:

env x='() { :;}; echo vulnerable' bash -c "echo Esto es un test de prueba."

Si nuestra distribución de Linux es vulnerable dará el sisguiente resultado:

vulnerable

Esto es un test de prueba.

Una distribución Linux que no esté afectada o que esté parcheada mostrará el siquiente mensaje por pantalla:

bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
Esto es un test de prueba.

Todo esto también es perfectamente válido para OS X.

¿Cómo podemos protegernos de éste bug?

Como usuarios finales lo que tenemos que hacer es estar atentos a la publicación del parche que lo corrige y aplicarlo en cuanto salga.