CVE-2014-6271

Bash przetwarza ciągi znaków umieszczone po definicjach funkcji w wartościach zmiennych środowiskowych — treść ta jest wykonywana jako polecenie powłoki. Atakujący może dostarczyć spreparowaną zmienną środowiskową zawierającą dodatkowe polecenia (command injection), które zostaną wykonane w momencie uruchomienia Bash. Wektory ataku obejmują m.in. mechanizm ForceCommand w OpenSSH sshd, moduły mod_cgi i mod_cgid serwera Apache HTTP Server, a także skrypty uruchamiane przez klientów DHCP — wszędzie tam, gdzie ustawianie środowiska następuje przez granicę uprawnień przed wywołaniem Bash. Uwaga: pierwotna poprawka dla tej podatności była błędna; niezałatana luka szczątkowa została zarejestrowana jako CVE-2014-7169.

Atakujący nieuprawniony zdalnie może wykonać dowolny kod na podatnym systemie, co prowadzi do pełnego przejęcia kontroli nad systemem, ujawnienia danych, ich modyfikacji lub utraty dostępności usług.

Należy niezwłocznie zaktualizować GNU Bash do wersji zawierającej kompletną poprawkę (uwaga: pierwsza poprawka była niewystarczająca — należy upewnić się, że zastosowana łatka eliminuje również CVE-2014-7169). Dla produktów Arista EOS oraz innych dostawców należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie ekspozycji interfejsów CGI oraz weryfikację konfiguracji środowisk uruchamiających Bash z danymi zewnętrznymi.

GNU Bash w wersjach do 4.3 włącznie; produkty Arista EOS wykorzystujące podatną wersję Bash; inne systemy i urządzenia korzystające z GNU Bash, w których zmienne środowiskowe są przekazywane do powłoki przez granicę uprawnień (m.in. serwery Apache HTTP Server z mod_cgi/mod_cgid, serwery OpenSSH z ForceCommand, klienci DHCP)

Pierwotna poprawka wydana dla CVE-2014-6271 okazała się błędna i niekompletna — residualna podatność została zarejestrowana osobno jako CVE-2014-7169. Wdrażając mitygację, należy koniecznie zastosować poprawki adresujące oba identyfikatory CVE.

CISA KEV — szczegółyi

Dostawcai

GNU

Produkti

Bourne-Again Shell (Bash)

Data dodania do KEVi

28 stycznia 2022

Termin remediation (USA)i

28 lipca 2022(po terminie)