Chyba GHOST: existuje jednoduchý způsob, jak otestovat, zda je můj systém zabezpečený?

Zdá se, že si můžete stáhnout nástroj z University of Chicago , který vám umožní otestovat váš systém na zranitelnost .

To neopraví ani nereštartuje nic řekne vám pouze to, zda je váš systém zranitelný.

$ wget https://webshare.uchicago.edu/orgs/ITServices/itsec/Downloads/GHOST.c $ gcc GHOST.c -o GHOST $ ./GHOST [responds vulnerable OR not vulnerable ] 

Spustím to na jednom ze svých vzdálených serverů:

user@host:~# wget https://webshare.uchicago.edu/orgs/ITServices/itsec/Downloads/GHOST.c --2015-01-27 22:30:46-- https://webshare.uchicago.edu/orgs/ITServices/itsec/Downloads/GHOST.c Resolving webshare.uchicago.edu (webshare.uchicago.edu)... 128.135.22.61 Connecting to webshare.uchicago.edu (webshare.uchicago.edu)|128.135.22.61|:443... connected. HTTP request sent, awaiting response... 200 OK Length: 1046 (1.0K) [text/x-csrc] Saving to: `GHOST.c" 100%[============================================>] 1,046 --.-K/s in 0s 2015-01-27 22:30:48 (237 MB/s) - `GHOST.c" saved [1046/1046] user@host:~# gcc GHOST.c -o GHOST user@host:~# ./GHOST vulnerable 

The zdrojový kód tohoto skriptu vypadá jako tento další blok kódu , ale původní kód byste měli nejprve zkontrolovat . Jak již zdůraznili jiní, pokud svévolně spouštíte kód z internetu, aniž byste věděli, co dělá, může dojít ke špatným věcem :

/* * GHOST vulnerability check * http://www.openwall.com/lists/oss-security/2015/01/27/9 * Usage: gcc GHOST.c -o GHOST && ./GHOST */ #include <netdb.h> #include <stdio.h> #include <stdlib.h> #include <string.h> #include <errno.h> #define CANARY "in_the_coal_mine" struct { char buffer[1024]; char canary[sizeof(CANARY)]; } temp = { "buffer", CANARY }; int main(void) { struct hostent resbuf; struct hostent *result; int herrno; int retval; /*** strlen (name) = size_needed - sizeof (*host_addr) - sizeof (*h_addr_ptrs) - 1; ***/ size_t len = sizeof(temp.buffer) - 16*sizeof(unsigned char) - 2*sizeof(char *) - 1; char name[sizeof(temp.buffer)]; memset(name, "0", len); name[len] = "\0"; retval = gethostbyname_r(name, &resbuf, temp.buffer, sizeof(temp.buffer), &result, &herrno); if (strcmp(temp.canary, CANARY) != 0) { puts("vulnerable"); exit(EXIT_SUCCESS); } if (retval == ERANGE) { puts("not vulnerable"); exit(EXIT_SUCCESS); } puts("should not happen"); exit(EXIT_FAILURE); } 

Upravit : Přidal jsem odpovědnou příručku sem , pokud je kdokoli, pokud máte velké množství systémů, které lze poté otestovat, vám to umožní rychle.

Rovněž podle níže uvedené diskuse, pokud zjistíte, že jsou vaše servery zranitelné, a použijete dostupné opravy, je velmi doporučeno restartovat systém .

Komentáře

• @KasperSouren No, ano. Pokud je zranitelný, použijte opravu / upgrade a restartujte.
• @KasperSouren To, na co ‚ žádáte, je upřímně řečeno trochu hloupé. Tato odpověď dokonale odpovídá na vaši otázku: jak zjistím tuto chybu zabezpečení. To je ‚ vše, co jste požadovali. Žádat o “ jednu linii “ je také trochu hloupé. Test, který zde zveřejnil, jsem provedl na všech mých serverech za méně než 2 minuty. Je ‚ mrtvý jednoduchý. Právě “ vypnutí -r nyní “ poté, co jste ‚ hotovi ….. ..
• Upgradoval jsem, spustil test, nerestartoval jsem ‚. K tomu jsem se vrátil, až když jsem zjistil, že musím restartovat. To se může stát poměrně málo lidem a jejich servery mohou být zranitelné a mohou být napadeny navzdory jejich falešnému pocitu bezpečí. Takže to není tak hloupé, pokud je to možné, IMHO.
• GHOST.c POC pochází z původního Qualysu poradenský .
• @KasperSouren test vám může říci, že nové programy budou používat bezpečnou verzi glibc. Můžete však mít spuštěné programy na pozadí, které byly spuštěny před upgradem, a proto jste načetli starou verzi.

One-liner PHP:

php -r "$e="0";for($i=0;$i<2500;$i++){$e="0$e";gethostbyname($e); }" 

Python one-liner:

python -c "import socket;y="0"*50000000;socket.gethostbyname(y)" 

Pokud vám dávají segfaults (ano, Python segfault, vzácný vzorek), pak jste „zranitelní. Nevím, jestli považujete Python za„ vývojový nástroj “, ale PHP je běžný program.

Pokud je cílovým zařízením router, nevím o ničem, co byste na něm mohli dělat, co by vám to říkalo, kromě hloubení specifikací výrobce a / nebo čekání na doporučení výrobce a aktualizace firmwaru.

Komentáře

• Je možné to kombinovat s sudo lsof | grep libc- | grep DEL"? Uvedeno v jiném komentáři, aby se tomu zabránilo lidé si myslí, že ‚ jsou v bezpečí, zatímco se starý libc stále používá. Díky tomuto dodatku hned

Odpověď aaronfay je již zahrnuta v určení, zda je váš základní systém zranitelný, ale nezjistí, zda existují programy, které po upgradu stále běží pomocí staré verze glibc. To znamená, že byste mohli upgradovat bez restartování postižených procesů a skript by hlásil „není zranitelný“, přestože se stará zranitelná knihovna stále používá.

Tady je jeden způsob, jak zkontrolovat, zda nějaké existují dynamicky propojené programy, které stále používají starou verzi glibc:

sudo lsof | grep libc- | grep DEL 

Pokud existují výsledky, používají se smazané verze glibc a procesy, které je používají, mohou být zranitelný.

Samozřejmě to nepokrývá případ, kdy byl glibc staticky propojen. Dobrá (?) zpráva je, že je velmi vzácné najít glibc staticky propojený v binární podobě, protože velikosti, a protože to představuje další nepříjemnosti a obtíže. V případě, že máte programy využívající staticky kompilovaný glibc (který téměř jistě nemáte), budete je muset znovu zkompilovat.

Komentáře

• lsof +c0 -f -- /usr/lib64/libc-*.so | grep "(deleted)$" o něco přesnější, zobrazí vám celé názvy procesů a hledá odkazy na soubory, které byly smazány.

Pokud máte účet v Redhat, můžete přistupovat k jejich „GHOST detektoru“ na tato adresa URL . Je to malý skript prostředí, který vám řekne, zda je váš glibc zranitelný.

Red Hat se nyní vrátil a uvedli, že jejich skript detektoru je chybný. Všimněte si, že na RHEL6.6 existuje také obava při použití yum –security k opravě zranitelnosti, protože byla zmeškána podle https://bugzilla.redhat.com/show_bug.cgi?id=1186717 .

Komentáře

• Nástroj RedHat kontroluje pouze verzi RPM glibc a to jen ví o verzích RedHat (a pravděpodobně derivátech). Ve skutečnosti to nefunguje na žádném jiném operačním systému.
• Toto již také není k dispozici ke stažení, což pravděpodobně způsobí chyby.