CVE-2014-6271
KrytyczneStreszczenie
GNU Bash w wersji do 4.3 przetwarza dodatkowe ciągi po definicjach funkcji w wartościach zmiennych środowiskowych, co pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez spreparowane środowisko. Przykłady obejmują wykorzystanie funkcji ForceCommand w OpenSSH sshd oraz modułów mod_cgi i mod_cgid w serwerze Apache HTTP.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla organizacji, umożliwiając atakującym zdalne wykonanie kodu, co może prowadzić do przejęcia kontroli nad systemem. W szczególności, sytuacje, w których ustawiane jest środowisko w kontekście różnicy uprawnień, są szczególnie niebezpieczne.
Rekomendacja
Zaleca się aktualizację GNU Bash do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, należy ograniczyć możliwość ustawiania zmiennych środowiskowych w kontekście, w którym Bash jest uruchamiany.
Oryginalny opis (angielski, źródło NVD)
GNU Bash through 4.3 processes trailing strings after function definitions in the values of environment variables, which allows remote attackers to execute arbitrary code via a crafted environment, as demonstrated by vectors involving the ForceCommand feature in OpenSSH sshd, the mod_cgi and mod_cgid modules in the Apache HTTP Server, scripts executed by unspecified DHCP clients, and other situations in which setting the environment occurs across a privilege boundary from Bash execution, aka "ShellShock." NOTE: the original fix for this issue was incorrect; CVE-2014-7169 has been assigned to cover the vulnerability that is still present after the incorrect fix.