脆弱性「ShellShock」コメントをどうぞこんにちは。当サイト管理人のAsterismです。X)でShellShockと呼ばれる脆弱性が騒がれております。WindowsXPサポート終了後、Linuxをインストールした人も多いと思われます。LTSをインストールしたPCがあります。他人事ではありませんので、この脆弱性が存在するのか調べてみました。脆弱性の内容bashと呼ばれるシェル(Windowsでいうコマンドプロンプトのようなもの)の不具合で、bashを呼び出すことさえできれば(cgiのsystem関数などで)サーバー上の任意のプログラムを実行できてしまうという不具合です。この脆弱性はウェブアプリをインターネットで公開している場合に悪用される可能性があります。この脆弱性は、致命的な脆弱性のため、いろいろなサイトで取り上げられています。(http://www.agilegroup.co.jp/technote/bash-update.html)では脆弱性の試験方法も記載されておりました。LTSでテストを行ってみました。「端末」を起動します。端末の起動方法は一番左上のアイコン「コンピューターとオンラインリソースを検索」をクリックして「端末」と入力すればアプリケーション欄に端末アイコンが表示されるのでこれをクリックすれば起動できます。test"と入力します。testと表示されました。'で囲まれた中これは文字列を意味するので、コマンドではありません。関わらず、「vulnerable」と出てきてしまったのが問題なのです試しに、この脆弱性を使ってgeditを起動してみます。起動してしまいました。LTSではbashの脆弱性に対応したパッチが提供されていました。Ubuntuの更新です。GUIでわかりやすく更新してみます。システム設定→詳細で、詳細ウインドウを表示します。右下のボタンが「更新をインストール」となっていたら、即インストールします。test"と入力します。testと出てきました。まとめ今回の騒動は、コンピュータを外部(インターネット)に公開していない場合はあまり脅威ではない騒動ですが、ウェブサーバー等で外部に公開している場合、脅威になります。LinuxはPC以外にもいろいろなインターネットに接続する機器(ルータやWebカメラなど)にも搭載されています。機器のメーカーから新しいファームウェアが公開されたら即アップデートしてください。コメントをキャンセルメールアドレスが公開されることはありません。