När säkerhetshålet Heartbleed uppdagades tidigare under året sattes hela IT-världen i gungning. Nu uppdagas en ny allvarlig säkerhetsbrist och denna gång gäller det kommandotolken Bash, som används i de flesta Unix-lika operativsystem.
En webbserver som använder Bash för att exempelvis generera dynamiska sidor kan luras att exekvera kod med serverns användarprivilegier, vilket skulle kunna utnyttjas av angripare för att exempelvis snappa upp lösenord eller genomföra överbelastningsattacker.
En annan potentiell attack skulle kunna utföras om en klient med en sårbar version av Bash ansluter till en "elak" DHCP-server. Under vissa förhållanden skulle en preparerad server kunna sätta miljövariabler för Bash på anslutande klienter och därigenom exekvera godtycklig kod genom samma säkerhetshål.
När allmänheten informerades om säkerhetshålet släpptes även uppdateringar för de stora Linux-distributionerna, som rättar till bristen. I samband med detta upptäcktes dock nya säkerhetshål som kan utnyttjas på liknande sätt, vilket kommer att kräva ytterligare uppdateringar.
Det är inte heller enbart Linux-distributioner som är drabbade. Samma skal används i Apples operativsystem OS X och ibland även i Microsoft Windows, det sistnämnda med Cygwin eller liknande paket. Även dessa kommer att behöva uppdateras för att täppa till hålet.
För att skydda sig rekommenderas att inte använda några publikt åtkomliga tjänster som kallar på Bash och att i vanlig ordning se till att hålla systemen uppdaterade. Red Hat tillhandahåller en utförlig lista med lämpliga säkerhetsåtgärder i väntan på kommande säkerhetsuppdateringar.
