Shellshock: a falha no Bash que transformou câmera de IP em controle remoto

Em setembro de 2014, a Internet inteira aprendeu aRespectar uma câmera de segurança com senha. A causa foi a CVE-2014-6271, conhecida como Shellshock, uma falha no Bash, o interpretador de comandos usado em praticamente todo sistema Linux, que estava presente há mais de trinta anos.

A falha estava no tratamento de variáveis de ambiente, que o shell processa antes de executar qualquer comando. Uma função mal construída aceitava que a variável tivesse um sufixo que, ao ser expandido, era executado como se fosse um comando. Na prática, um atacante que conseguisse enviar um cabeçalho malicioso para um serviço qualquer que usasse Bash, o que inclui praticamente todo servidor web, obtinha execução de código sem precisar de autenticação.

O impacto no cotidiano foi curioso e instrutivo. Câmeras IP, roteadores domésticos, appliances de rede e painéis de controle de sites ficaram expostos, porque muitos desses equipamentos usam BusyBox ou um shell reduzido com a mesma falha. Milhões de dispositivos que o fabricante nunca mais atualizou continuaram vulneráveis por anos, porque a correção estava no interpretador de comandos, não no produto.

O que mais assustou os profissionais de segurança foi a velocidade e a simplicidade da exploração. Havia exploits públicos em minutos, e a varredura da internet inteira encontrou dezenas de milhares de dispositivos expostos em poucas horas. Ao mesmo tempo, a correção exigia que a função defeituosa fosse removida, e a segunda parte da falha, a CVE-2014-7166, mostrou que a correção original estava incompleta, o que obrigou a uma segunda rodada de atualizações.

A lição é dupla. Primeiro, que componentes de baixo nível que todo mundo usa precisam de um processo de atualização que acompanhe o produto, mesmo quando o fabricante parou de dar suporte. Segundo, que a superfície exposta não é só o servidor web: é todo dispositivo que aceita configuração pela rede, e a maioria deles nunca recebe atualização depois de instalado.