<div dir="ltr"><div>Yeah, my bad on talking about home routers, you're right about BusyBox. This vuln was a paper tiger, and not even as serious as the other vulnerabilities discovered yesterday.<br></div></div><div class="gmail_extra"><br><div class="gmail_quote">On Thu, Sep 25, 2014 at 8:43 AM, Sam Noble <span dir="ltr"><<a href="mailto:s@mnoble.net" target="_blank">s@mnoble.net</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div class="HOEnZb"><div class="h5">On Wed, Sep 24, 2014 at 11:24:35PM -0600, Max Bond wrote:<br>
> There is a critical vulnerability in bash which can often lead to remote<br>
> execution of code or local elevation of privileges.<br>
><br>
> Theres a patch in the repositories but it doesn't actually fix the issue<br>
> yet.<br>
><br>
> Bring down everything you can; don't connect to distrusted DCHP servers;<br>
> Apple is also effected, as are Android and iPhones; this is going to have a<br>
> huge fallout. Be prepared to update your home router. Most routers rely on<br>
> bash CGIs which are the biggest attack vector. Worms are imminently<br>
> expected.<br>
><br>
> <a href="https://securityblog.redhat.com/2014/09/24/bash-specially-crafted-environment-variables-code-injection-attack/" target="_blank">https://securityblog.redhat.com/2014/09/24/bash-specially-crafted-environment-variables-code-injection-attack/</a><br>
<br>
</div></div>The DHCP thing, is interesting, and this _is_ a serious deal for<br>
webservers with mod_cgi, But the home router thing, which I keep hearing<br>
people say, is going to be crazy rare. Unless you're like me and<br>
manually install bash in libreWRT/openWRT etc, /bin/sh is nearly<br>
certainly pointing to busybox and it's built in ash shell.<br>
<br>
Otherwise it looks to me like this mostly falls back to being an<br>
un-scary local exploit, right? Like if you have credentialed but<br>
untrusted local users?<br>
<br>
Now I have to rethink that public shell server business that was going<br>
to make me env RICHNESS_LEVEL='(ALIBABAIPO) { :;}; dpkg-vendor --is<br>
debian || debootstrap stable /' echo $RICHNESS_LEVEL<br>
<span class="HOEnZb"><font color="#888888"><br>
--<br>
sam<br>
_______________________________________________<br>
nmglug mailing list<br>
<a href="mailto:nmglug@lists.nmglug.org">nmglug@lists.nmglug.org</a><br>
<a href="http://lists.nmglug.org/listinfo.cgi/nmglug-nmglug.org" target="_blank">http://lists.nmglug.org/listinfo.cgi/nmglug-nmglug.org</a><br>
</font></span></blockquote></div><br></div>