北京時(shí)間9月25日早間消息，網(wǎng)絡(luò)安全專家周三警告稱，在Linux系統(tǒng)中廣泛使用的Bash軟件中發(fā)現(xiàn)的一項(xiàng)安全漏洞，對電腦用戶造成的威脅，可能比今年4月發(fā)現(xiàn)的“心臟流血”漏洞更為嚴(yán)重。
安全專家表示，Bash是一款在很多Unix電腦中用于控制命令提示符的軟件，黑客可以借助Bash中的漏洞完全控制目標(biāo)系統(tǒng)。
美國國土安全部下屬的美國電腦緊急響應(yīng)團(tuán)隊(duì)(以下簡稱“US-CERT”)發(fā)出警告稱，這一漏洞可能影響基于Unix的操作系統(tǒng)，包括Linux和蘋果(101.73, -0.91, -0.89%)Mac OS X。
網(wǎng)絡(luò)安全公司Trail of Bits CEO丹·奇諾(Dan Guido)表示，黑客可以借助“心臟流血”漏洞竊取電腦信息，但卻無法完全控制電腦。“這項(xiàng)新漏洞的破解方法也更容易，你只需要復(fù)制/粘貼一行代碼即可。”
供職于網(wǎng)絡(luò)安全公司Rapid7的工程師托德·貝爾德斯利(Tod Beardsley)警告稱，該漏洞的嚴(yán)重性達(dá)到了“10級”，意味著它的影響在各類漏洞中處于最高級別，而它的破解難度卻“很低”，因此只需要借助相對簡單的方式即可發(fā)起攻擊。
“攻擊者有可能借助這一漏洞控制系統(tǒng)，獲取機(jī)密信息，甚至修改設(shè)置。”貝爾德斯利說，“任何使用Bash的系統(tǒng)都應(yīng)該立刻打補(bǔ)丁。”
US-CERT建議電腦用戶通過軟件廠商獲取系統(tǒng)升級。該機(jī)構(gòu)還表示，紅帽(56.9, 0.57, 1.01%)等Linux系統(tǒng)開發(fā)商已經(jīng)準(zhǔn)備好了這樣的更新，但并未提及OS X的升級問題。蘋果發(fā)言人尚未對此置評。
谷歌(587.99, 6.86, 1.18%)安全研究員塔維斯·奧曼迪(Tavis Ormandy)在Twitter(52.96, 0.79, 1.51%)上表示，這些補(bǔ)丁似乎“不完善”。但他并未給出詳細(xì)評論，但一些安全專家稱，在Twitter上發(fā)表過于簡單的技術(shù)評論會(huì)引發(fā)擔(dān)憂。
“這意味著即使打了補(bǔ)丁，有些系統(tǒng)依然會(huì)被攻破。”安全軟件開發(fā)商Veracode CTO克里斯·韋索帕爾(Chris Wysopal)說。
他表示，各大企業(yè)的安全團(tuán)隊(duì)已經(jīng)花了一整天來檢查網(wǎng)絡(luò)，尋找存在漏洞的設(shè)備，并給其打上補(bǔ)丁。如果補(bǔ)丁被證明無效，他們可能采取其他方法措施減少潛在攻擊。
“所有人都在努力給所有接入互聯(lián)網(wǎng)的Linux設(shè)備打補(bǔ)丁，Veracode今天同樣在從事這一工作。”他說，“對于規(guī)模龐大、網(wǎng)絡(luò)復(fù)雜的組織而言，可能需要很長時(shí)間才能完成這項(xiàng)工作。”
今年4月發(fā)現(xiàn)的“心臟流血”漏洞存在于OpenSSL開源加密軟件中。由于全球約有三分之二的網(wǎng)站使用OpenSSL，導(dǎo)致數(shù)百萬網(wǎng)民的用戶數(shù)據(jù)面臨威脅。因?yàn)橛绊懛秶薮�，還迫使數(shù)十家科技公司針對數(shù)百款使用OpenSSL的產(chǎn)品開發(fā)了安全補(bǔ)丁。
Bash是一個(gè)殼，或稱命令提示符軟件，由非營利組織“自由軟件基金會(huì)”開發(fā)。該組織尚未對此發(fā)表評論。
核心關(guān)注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊(yùn)涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。
轉(zhuǎn)載請注明出處：拓步ERP資訊網(wǎng)http://www.oesoe.com/
本文標(biāo)題：安全專家發(fā)現(xiàn)新漏洞：影響或超“心臟流血”
相關(guān)文章
