思科的安全情報研究團隊Talos Group指出，Qualys日前所揭露的Ghost漏洞允許駭客自遠端執(zhí)行任意程式，雖然是個重大漏洞，但是其實并沒那麼可怕

　　CTI論壇(ctiforum)2月9日消息（記者 李文杰):網絡安全暨漏洞管理業(yè)者Qualys于1月27日揭露Linux漏洞「Ghost」（CVE-2015-0235），受影響的Linux版本有Debian 7、Red Hat Enterprise Linux 6/7（RHEL 6/7）、CentOS 6/7及Ubuntu 12.04等。不過這些業(yè)者都已經陸續(xù)同步更新受影響的作業(yè)系統(tǒng)。

　　Ghost漏洞屬于緩沖區(qū)溢位（Buffer Overflow）的攻擊手法，發(fā)生在Linux核心glibc程式庫中gethostbyname（）與gethostbyname2（）的函式，只要執(zhí)行這2個函式都有可能會觸發(fā)Ghost漏洞，且允許遠端駭客可以遠程呼叫這些函數，取得該應用程式的使用者身份，并可以執(zhí)行任意程式碼。

　　而gethostbyname（）函式用途為DNS解析，當系統(tǒng)有此弱點時，駭客就可以在程式執(zhí)行名稱解析的時候，提供不正確的參數，以此來觸發(fā)緩沖區(qū)溢位的漏洞。

　　臺灣企業(yè)尚無災情，紅帽已通知主要客戶

　　受Ghost漏洞影響的廠商紅帽（Red Hat），在1月27日和28日陸續(xù)釋出修補受Ghost漏洞影響的RHEL作業(yè)系統(tǒng)，以供用戶盡快修補。

　　此外，紅帽也已通過郵件方式來通知臺灣用戶，臺灣用戶也可以通過紅帽勘誤通知（Red Hat Errata Notification）或紅帽通知和公告網站獲取資安訊息通知。

　　臺灣紅帽表示，目前臺灣尚未接獲受Ghost漏洞影響的企業(yè)，但還是呼吁用戶盡速修補套件。

　　紅帽進一步解釋，為了杜絕漏洞，需要重新啟動有使用glibc的服務，而有監(jiān)于glibc的應用范圍廣泛，建議使用者重啟系統(tǒng)，不過，使用者更新套件時不需要重新開機。

　　Ghost漏洞真的很可怕？

　　思科的安全情報研究團隊Talos Group指出，Qualys日前所揭露的Ghost漏洞允許駭客自遠端執(zhí)行任意程式，雖然是個重大漏洞，但是其實并沒那麼可怕。

　　該漏洞出現在GNU C函式庫（glibc）中將主機名稱轉為IP位址的GetHOST功能，因此被簡稱為Ghost。

　　Qualys在__nss_hostname_digits_dots（）發(fā)現一個緩沖區(qū)溢位漏洞，不論是執(zhí)行gethostbyname（）或gethostbyname2（）功能都有可能觸發(fā)該漏洞，允許遠端駭客執(zhí)行任意程式并掌控系統(tǒng)。

　　不過，Talos Group認為此一重大漏洞并沒有那麼可怕。其中一個原因是這兩項功能因未支持IPv6，所以約在15年前就日漸被淘汰，支持IPv6且用來替代上述功能的getaddrinfo（）并不存在該漏洞。

　　其次是必須要接受以主機的名稱輸入，并且仍然使用gethostbyname（）或gethostbyname2（）功能的應用程式才可能被攻擊。

　　再者，相關功能限制了可使用的主機名稱格式，除了要求主機名稱只能由數字與「。（dot）」組成之外，也要求主機名稱的第一個字元必須是「。」，但最后一個字元不能是「。」，很少有應用程式接受這種資料格式的輸入。

　　Talos Group表示，即使這是一個允許遠端程式攻擊的漏洞，但其限制降低了它的威脅性，駭客必須使用gethostbyname（）或gethostbyname2（）的其中一項功能，還得符合奇怪的規(guī)則，在實際場景最有可能發(fā)生的結果是造成記憶體區(qū)段錯誤而非遠端程式攻擊。

　　目前Talos Group并未發(fā)現任何針對該漏洞的攻擊報告，但預期在業(yè)者把相關漏洞的概念性驗證程式加至Metasploit滲透工具包之后情況可能就會有所改變。