'Schlimmer als Heartbleed':
Große Gefahr durch neue Linux-Lücke

Die Entwickler von Red Hat Linux sind auf eine schwerwiegende Sicherheitslücke in der Bash-Shell von Linux aufmerksam geworden, die angeblich eine noch größere Gefahr darstellen könnte als der vor einigen Monaten aufgetauchte sogenannte Heartbleed-Bug. Wie die Entwickler in ihrem Sicherheits-Blog verlauten ließen, gibt es eine unauffällige aber höchst gefährliche Schwachstelle in der Bash-Shell, bei der es sich um eines der meistgenutzten Werkzeuge unter Linux handelt. Die Lücke wird als "Bash-Bug" oder "Shellshock" bezeichnet und erlaubt einem Angreifer im Grunde die Ausführung beliebigen Codes, sobald die Bash-Shell auch nur aufgerufen wird. Daraus ergibt sich dem Vernehmen nach eine breite Angriffsfläche für eine Vielzahl von Attacken.

Der Fehler besteht offenbar schon seit langer Zeit und ist vor allem mit Blick auf kommerziell genutzte Linux-Systeme problematisch. Neben Linux ist auch Mac OS X mit seiner Unix-Basis betroffen, denn auch hier ist die Bash-Shell mit an Bord. Red Hat und Fedora haben bereits Patches herausgegeben, die die Schwachstelle bei ihren Linux-Varianten beseitigen sollen.

Im Fall von Mac OS X gibt es zwar noch keinen offiziellen Patch gegen das Problem, doch erfahrene Anwender können den Fehler selbst beseitigen, indem Bash neu kompiliert wird. Eine entsprechende Anleitung wurde bei StackExchange veröffentlicht, sollte aber nur von Nutzern umgesetzt werden, die auch wissen was sie tun.

Der Sicherheitsexperte Robert Graham von Errata Security geht davon aus, dass der Bash-Bug "wahrscheinlich ein größeres Problem als Heartbleed" darstellt, wie er über Twitter verlauten ließ. In einem Blog-Eintrag erklärte er, dass ein Großteil der Linux-Software mit der Shell interagiert, so dass es praktisch unmöglich sein werde, jede Software zu katalogisieren, die dadurch verwundbar geworden ist. Ähnlicher Meinung sind auch diverse andere Sicherheitsexperten, die davon ausgehen, dass der Fehler noch jahrelang negative Auswirkungen haben wird.