MiracleLinux 3bash-3.2-33.AXS3.4AXSA:2014-553:01
critical Nessus プラグイン ID 289649
Language:
概要
リモートのMiracleLinuxホストに1つ以上のセキュリティ更新プログラムがありません。説明
リモートの MiracleLinux 3 ホストには、AXSA:2014-553:01 アドバイザリで言及されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。説明：
GNU Bourne Again シェルBashは、Bourne シェルshと互換性のあるシェルまたはコマンド言語インタープリターです。Bash は、Korn シェルkshと C シェルcshから便利な機能を取り入れています。ほとんどの sh スクリプトは、変更なしで bash によって実行できます。このパッケージbashには、bash バージョン 3.2が含まれており、以前のバージョンより POSIX コンプライアンスを改善しています。
このリリースで修正されたセキュリティ問題
CVE-2014-71694.3 GNU Bash から まで、bash43-025 は、環境変数の値における特定の無効な形式の関数定義の後に末尾の文字列を処理します。これにより、リモートの攻撃者は、ファイルに書き込んだり、細工された環境を通じて未知の他の影響を及ぼすことが可能です。これは、 OpenSSH sshd の ForceCommand 機能、Apache HTTP Server の mod_cgi および mod_cgid モジュール、詳細不明な DHCP クライアントによって実行されるスクリプト、および Bash 実行からの権限境界を越えて環境設定が発生するその他の状況。注：この脆弱性は、CVE-2014-6271の修正が不完全なために存在します。
CVE-2014-62714.3 までの GNU Bash が、環境変数の値の関数定義後に末尾の文字列を処理します。これにより、リモートの攻撃者が、細工された環境を通じて任意のコードを実行することが可能です。これは、OpenSSH sshd、mod_cgi および mod_cgid モジュールの ForceCommand 機能に関連するベクトルにより実証されています。 Apache HTTPサーバー、詳細不明なDHCPクライアントによって実行されるスクリプト、およびBash実行からの権限境界を越えて環境設定が発生するその他の状況別名ShellShock。
注： この問題の元の修正は不適切でした。 不適切な修正後に依然として存在する脆弱性に対処するために、CVE-2014-7169 が割り当てられました。
CVE-2014-7186
**予約**この候補は、新しいセキュリティの問題を発表するときに、それを使う組織または個人によって予約されています。候補が公表されるときに、この候補の詳細が提供されます。
CVE-2014-7187
**予約**この候補は、新しいセキュリティの問題を発表するときに、それを使う組織または個人によって予約されています。候補が公表されるときに、この候補の詳細が提供されます。
詳細については、以下の CVE のリンクを参照してください。
Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受ける bash パッケージを更新してください。参考資料
プラグインの詳細
深刻度: Critical
ID: 289649
ファイル名: miracle_linux_AXSA-2014-553.nasl
バージョン: 1.3
タイプ: local
公開日: 2026/1/16
更新日: 2026/1/17
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Critical
スコア: 9.7
Vendor
Vendor Severity: High
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 8.7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2014-7187
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 9.4
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:H/RL:O/RC:C
CVSS スコアのソース: CVE-2014-7169
脆弱性情報
CPE: cpe:/o:miracle:linux:3, p-cpe:/a:miracle:linux:bash
必要な KB アイテム: Host/local_checks_enabled, Host/MiracleLinux/release, Host/MiracleLinux/rpm-list, Host/cpu
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2014/9/26
脆弱性公開日: 2014/9/24
CISA の既知の悪用された脆弱性の期限日: 2022/7/28
エクスプロイト可能
Core Impact
Metasploit (Qmail SMTP Bash Environment Variable Injection (Shellshock))
参照情報
CVE: CVE-2014-6271, CVE-2014-7169, CVE-2014-7186, CVE-2014-7187