Shellshock на пальцах

[schors]

Все уже слышали об эпической дырке в bash

Comments

[anonymous]

Еще как повышает привелегии, если применить ее к суиднику, который что-то запускает. Привет cpanel!

[schors]

Но сам по себе не повышает. Собственно, торчание суидника жопой в интернет всегда было моветоном. 15 лет назад, когда я ещё путался в настройках, меня дико раздражало это. Я не знаю зачем в XXI веке cPanel так делает, да и вообще зачем она CGI

[amavlyanov]

давай уж честно - непонятно зачем cpanel есть. зачем давать обезьянам гранату?!

[awind]

они ж молотком гвозди забивать не умеют...

[alll]

> А у Вас CGI на /bin/sh

"Сказочный долбоёб, просто сказочный". ;)

[kapsh]

Подожди, так баш ВЫПОЛНЯЕТ экспортируемую функцию?

[dmarck]

ВЫПОЛНЯЛ, to be exact ;-P

[_slw]

и не ее, а то что за ней.
и не функцию, а определение переменной через функцию

[schors]

Я исходник не смотрел, но подозреваю, что он тупо eval делает на всю переменную. Что естественно не запускает функцию, но выполняет всё что дальше.

[darth_poo]

По характеру косяка напоминает дырку на сайте Интерпола в 2004 году.

http://www.zvag.ru/interpol_wants_zvag.png

[yuno]

FastCGI передаёт заголовки HTTP в окружение и поэтому запуск bash будет в соответствуюем окружении. Выкладка теоретическая, поправьте меня, если это не так.

Для передачи информации типа переменных окружения в FastCGI используется свой собственный протокол. Упомянутый вами PHP-FPM, в частности, вообще не запускает шелл - ему это не нужно, он работает напрямую с бинарниками PHP; менеджеры процессов FastCGI, как правило, не порождают новые процессы на каждый запрос, а используют повторно уже существующие.

[schors]

Да причём тут запуск. FastCGI был изначально костылём для CGI. CGI предполагает, что заголовки будут в переменных окружения для скрипта. Такого же поведения я ожидаю и от FastCGI. Честно не проверял, не пошёл смотреть спецификацию, не смотрел как это реализует PHP-FPM, понадеялся, что кто-нибудь посмотрит и поправит. Самому посмотреть негде, отродясь не иcпользовал FastCGI. Про запуск shell - я там русским по белому написал - в тех случаях, когда кто-то в скрипте запускает shell_exec(). В случае с mod_php - пофиг, ибо в окружение никак не сделать инъекцию. А вот с FastCGI...