VMWare Fusion vulnerable a ShellShock en tu OS X

Cuando vimos el exploit nos llamó mucho la atención y es que en el Github de Metasploit podemos encontrar un exploit que se aprovecha de ShellShocks para realizar una elevación de privilegios y ejecutar código con dicho  privilegio. Aunque se ha parcheado recientemente la vulnerabilidad en Bash para OS X, todavía existirán muchos usuarios que utilizan versiones vulnerables de esta shell. Cada día que pasa son más y más las aplicaciones que son utilizadas como fuente para aprovecharse de la vulnerabilidad de Bash. El nombre del módulo es vmware_bash_function_root.rb, se puede obtener desde el Github.

¿En qué consiste?

Cuando un usuario en OS X tiene instalado VMWare Fusion, durante su instalación se ha otorgado unos privilegios al usuario que lanza la virtualización. Esta versión del software tiene un binario con permiso SUID y que será el que utilice el payload para lanzarse con los permisos de root. Lo comentado anteriormente se puede ver en la siguiente imagen, dónde la descripción del módulo lo especifica. En la función initialize se proporciona más información sobre detalles informativos del módulo como son el nombre del módulo, que debe identificar la vulnerabilidad, la plataforma, la arquitectura, los targets, en este caso es totalmente válido con OS X Mavericks.

Figura 1: Inicialización del módulo

El módulo dispone de dos funciones check y exploit. La primera permite comprobar si la aplciación o servicio remoto o local es vulnerable sin necesidad de realizar la explotación contra la entidad vulnerable. La segunda permite llevar a cabo la explotación de la vulnerabilidad, y en el caso de Metasploit de ejecutar un payload.

Figura 2: Check y Exploit en el módulo

En el check se puede ver como se realiza una ejecución de código a través de la línea env x='() { :;}; echo...'. Para comprobar que se ha ejecutado correctamente, se comprueba mediante el método include?. Además, se realiza otra comprobación y es que no se pueda abrir como fichero el path seleccionado como ruta dónde se encuentra VMWare Fusion. La función exploit genera un binario dónde se dispone del payload para posteriormente ejecutarlo a través de la variable LANG. 

Está siendo muy curioso ver como cada vez más aplicaciones son utilizadas para explotar a Bash, y la criticidad que esta vulnerabilidad está teniendo a la altura sin duda de Heartbleed. Su fácil explotación hace que cualquiera pueda hoy en día aprovecharse de este grave error. En Github podemos encontrar un listado de aplicaciones o servicios que se piensan que pueden ser vulnerables, y otros tantos que han sido comprobados como vulnerables.