BR-Linux.org

Enviado por Edivaldo Brito (edivaldobezerraΘgmail·com):

Enviado por Edivaldo Brito (edivaldobezerraΘgmail·com):

Enviado por Edivaldo Brito (edivaldobezerraΘgmail·com):

Se o seu computador roda o shell Bash e não foi atualizado nos últimos dias, ele está vulnerável ao Shellshock, uma falha grave – e praticamente todos os computadores desktop e servidor com Linux e com OS X, além de aparelhos como roteadores e até eletrodomésticos conectados à Internet rodam esse software.

O bug começou a ser comentado em larga escala ontem, e aparentemente foi descoberto na semana passada. Mas ele está presente nas versões do Bash dos últimos 20 e poucos anos (exceto as atualizações posteriores à descoberta, embora elas ainda estejam sendo auditadas), então é possível que alguém já o conhecesse e fizesse uso dele, silenciosamente, há muito tempo.

Com o bug, é possível injetar comandos para execução pelo computador, mesmo no caso de usuários sem acesso direto à shell: é possível fazer isso alterando os cabeçalhos de uma conexão a um servidor web, por exemplo, ou por meio do protocolo de monitoramento SNMP, ou ainda pela autenticação de sessões SSH, entre outros vetores de ataque já identificados.

Injetando comandos, é possível controlar um computador remotamente, seja movendo para pastas públicas arquivos que deveriam ser privados, alterando configurações, forçando o download de arquivos remotos que contenham malware, e muitas outras atividades. É bem o tipo de vulnerabilidade que se presta à distribuição automática de malware, ou seja, worms, redes zumbis, etc. – e, como este é particularmente fácil de explorar, seria possível criar uma em larga escala, até porque muitos computadores conectados à web não terão seu upgrade do Bash realizado imediatamente.

Fique atento ao site de segurança do seu distribuidor de sistema operacional, e atualize o Bash assim que ele disponibilizar (alguns já disponibilizaram). Depois de atualizar, use as rotinas normais para verificar se o seu sistema chegou a ter a falha explorada e foi comprometido.

Para verificar se o seu Bash está vulnerável, você pode emitir o seguinte comando:

env x='() { :;}; echo vulneravel' bash -c 'false'

Se a palavra "vulneravel" for impressa na tela, você saberá que está.

E para ver com detalhes tudo o que já se sabe sobre o funcionamento e a gravidade da falha, visite o texto detalhado do Troy Hunt.

Mais do que no caso do bug Heartbleed, este parece ser o_caso que justifica os planos da Core Infrastructure Initiative de investir na segurança dos componentes básicos dos sistemas open source.

Enviado por Alexandre Vicenzi (vicenzi·alexandreΘgmail·com):

Enviado por Edivaldo Brito (edivaldobezerraΘgmail·com):

Enviado por Marco Sinhoreli (marco·sinhoreliΘshapeblue·com):

Enviado por Guilherme Razgriz (razgrizΘcrialivre·com·br):

Enviado por Anderson Oliveira de Paula (andersonopΘgmail·com):

Enviado por Vantage TI (marketingΘvantageti·com·br):

Após firmar a tradição de ter o GNOME como seu desktop default, em 2012 o Debian adotou o Xfce (mantendo o GNOME como alternativa), por razões que incluíam caber no primeiro CD da distribuição.

Os meses se sucederam, e agora o Debian trilha o caminho inverso: o GNOME passou a ser o default novamente.

A decisão ainda não é definitiva, mas já está implementada. As razões, segundo explicou o mantenedor que fez o commit, são particularmente baseadas em acessibilidade e integração com o systemd, mas também incluem as melhorias no GNOME 3 e o tamanho da comunidade. O que poderia fazer mudar novamente a opção seria uma renascida atenção à importância de caber no CD 1. (via www.phoronix.com - “[Phoronix] Debian Switches Back To GNOME As Its Default Desktop”)

A popular biblioteca javascript jquery não foi comprometida, mas o servidor de onde muitos desenvolvedores buscam informações e documentação sobre ela foi alterado remotamente para servir um exploit kit e um malware usado para roubar informações.

Se você visitou recentemente, vale uma atenção especial, o que é particularmente importante por se tratar de um site que muitos usuários presumem ser seguro, assim como também aconteceu no recente episódio em que o Banco do Brasil distribuiu malware por meio de seu sistema de home banking. (via developers.slashdot.org - “jQuery.com Compromised To Serve Malware - Slashdot”)

Enviado por Atos Ramos (atosramosΘgmail·com):

Enviado por Edivaldo Brito (edivaldobezerraΘgmail·com):

Enviado por Jonathan (jonathanschwederΘgmail·com):