ShellShock можно проэксплуатировать через DHCP

image

Теги: уязвимость Shellshock

Скомпрометировав и перенастроив DHCP-сервер, злоумышленник может получить доступ ко всем компьютерам в уязвимой сети.

Каждый день появляются все новые сообщения о том, что хакеры совершили очередную атаку с эксплуатацией уязвимости ShellShock. В основном они затрагивают web-приложения, но исследователи доказали, что брешь можно использовать и для атаки на другие объекты.

Как оказалось, ShellShock можно эксплуатировать через такие протоколы, как SMTP, SIP и DHCP. В случае с DHCP злоумышленник может скомпрометировать и перенастроить подлинный DHCP-сервер, после чего он будет отсылать клиентам вредоносные данные. Об этом пишет исследователь Trend Micro Акаш Шарда (Akash Sharda) в  блоге компании.

Обычное взаимодействие между клиентом и DHCP-сервером выглядит следующим образом. Клиент посылает сообщение об обнаружении DHCP, после чего сервер получает его, резервирует IP-адрес и передает в ответ предложение (offer). Клиент отвечает DHCP-запросом о предоставлении зарегистрированного адреса, после чего сервер передает сообщение о подтверждении.

В сообщении о подтверждении DHCP-сервер может предоставить дополнительные поля опций, в которых используется числовой идентификатор. В данном случае скомпрометированный сервер посылает команды через опцию 114. Если на ПК клиента установлена уязвимая версия Bash, происходит выполнение произвольного кода.

Используя этот способ атаки, хакер может получить доступ ко всем компьютерам в сети.

Telegram Подписывайтесь на канал "SecurityLab" в Telegram, чтобы первыми узнавать о новостях и эксклюзивных материалах по информационной безопасности.