Vulnerabilidad Shellshock debilita a redes OpenVPN

Soy Digital

Los servidores de redes privadas virtuales basadas en OpenVPN pueden ser vulnerables a ataques de ejecución remota a través de Shellshock y otras fallas recientes que afectan a shell Bash Unix.

 

IDG

 

El tipo de ataque OpenVPN fue descrito en un post en Hacker News por Fredrik Strömberg, co-fundador de un servicio VPN comercial llamado Mullvad.

 

“El OpenVPN tiene una serie de opciones de configuración que pueden solicitar medidas críticas durante las diferentes etapas de la sesión de túnel. Muchos de estos comandos son llamados variables ambientales establecidas, algunos de los cuales pueden ser controlados por el cliente”, dijo Strömberg.

 

Shellshock y varias otras fallas encontradas en el Bash Shell de Unix en la última semana se derivan de errores en la forma en que el intérprete de línea de comandos analizó las cadenas que aparecen como variables de entorno.

 

Por eso es necesario: Un CISO

 

Varias aplicaciones usan Bash en diferentes circunstancias y podrían ser utilizados por los atacantes para crear cadenas maliciosas. Este es el caso de los scripts CGI que se ejecutan en servidores web.

 

La comunidad de seguridad aún está investigando el alcance total de los defectos Shellshock y qué aplicaciones se abren en el ataque.

 

Una de las opciones de configuración de OpenVPN que permite la explotación Shellshock se llama auth-user-pass-verify. De acuerdo a la documentación oficial del software, proporciona una interfaz de plug-in de estilo para la ampliación de capacidades de autenticación de un servidor OpenVPN.

 

¿Ya conoce los detalles del ataque de Home Depot? Aquí tiene los detalles.

 

La opción ejecuta un script definido por el administrador mediante el intérprete de línea de comandos con el fin de validar los nombres de usuario y contraseñas que se suministran mediante la conexión de los clientes. Esto abre la posibilidad de que los clientes utilicen los nombres de usuario y contraseñas malintencionados que se aprovechan de la vulnerabilidad Shellshock.

 

Amagicom, la compañía sueca propietaria Mullvad, informó a los desarrolladores de OpenVPN y algunos proveedores de servicios de VPN sobre el tema de auth-user-pass-verify la semana pasada, pero esperó antes de hacerlo público para que puedan tomar las acciones apropiadas. Este tipo de ataque Shellshock es uno de los más graves, ya que no requiere autenticación.

 

Sin embargo, parece que los desarrolladores de OpenVPN sabían de los riesgos de seguridad generales asociados con auth-user-pass-verifican incluso antes del hallazgo de los últimos fallos Bash.

 

Descubra: Los ataques de ciberespionaje más notorios

 

“Hay que tener cuidado con las secuencias de comandos definidos por el usuario para evitar la creación de una vulnerabilidad de seguridad en la forma en que estas cadenas se manejan. Nunca use estas cadenas de tal manera que puedan ser evaluados por un intérprete del Shell”, esto decía según la documentación oficial OpenVPN donde adviertió esta opción de configuración.

 

En otras palabras, el autor de la escritura tiene que asegurarse de que el nombre de usuario y contraseña recibidas de los clientes no tienen ningún carácter peligroso o secuencia de caracteres antes de pasarlos al intérprete de shell. Sin embargo, en lugar de confiar en la capacidad de los guionistas para filtrar posibles exploits, es probablemente la mejor manera de implementar el parche.

Este artículo está clasificado como: , , , ,

Comentarios

Para poder comentar debe iniciar su sesión:

INGRESAR