Jefferson, 
26 de setembro de 2014, 
O alerta disparou ontem, incluindo o CERT. Um pesquisador descobriu uma falha no processador de comandos BASH que existe há pelo menos 20 anos, é fácil de explorar (qualquer palerma seguindo um roteiro consegue) e afeta qualquer sistema Linux e Mac que seja acessível pela internet e rode o BASH. Você, usuário Windows, poderia pensar: “e eu com isso?” Bem… lembre-se de que hoje incontáveis aparelhos domésticos rodam uma versão simplificado de Linux e ainda é incerto o número de modems ADSL e outros aparelhos que naturalmente estão expostos à internet que rodam BASH.
Não é necessário autenticação. Se o script kiddie tiver qualquer tipo de acesso ao aparelho, mesmo que seja somente a tela de login, se o aparelho rodar BASH “tá dominado”.
Eu não tenho muitos detalhes ainda e não faço idéia da vulnerabilidade dos meus próprios aparelhos.
Geralmente os modems e routers usam Busybox, que tem uma versão reduzida e diferente de shell e que não é o bash.Outros dispositivos diferenciados e com maiores funcionalidades vale a pena ver se rodam bash e se já existem patchs, provavelmente a maioria não vai receber patch porque as empresas (principalmente as chinesas), depois de algum tempo simplesmente deixam de atualizar firmwares e cancelam o suporte aos seus produtos.
Sim, geralmente se usa Busybox e geralmente o Busybox usa ASH. E o ASH apesar de ser uma versão do BASH não é vulnerável, segundo foi discutido ontem no fórum OPENWRT. Mas eu acho melhor ficar alerta porque são tantos aparelhos rodando Linux que podem estar conectados à internet por variadas razões (modem, DVR, NVR, etc) que você nunca tem certeza. E também é preciso ficar atento aos inimigos internos. “Script kiddies” dentro das empresas aproveitando a vulnerabilidade de dentro da LAN. No mínimo, podem “matar” o DVR.