Oracle Linux 4：bash（ELSA-2014-1294）（Shellshock）
critical Nessus プラグイン ID 77849
Language:
概要
リモート Oracle Linux ホストにセキュリティ更新がありません。説明
Red Hat セキュリティアドバイザリ 2014:1294 から：1 つのセキュリティ問題を修正した更新済み bash パッケージが Red Hat Enterprise Linux 4 Extended Life Cycle Support、 Red Hat Enterprise Linux 5.6 Long Life、Red Hat Enterprise Linux 5.9 Extended Update Support、 Red Hat Enterprise Linux 6.2 Advanced Update Support、 Red Hat Enterprise Linux 6.4 Extended Update Support で使用できるようになりました。
Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。
GNU Bourne Again shell（Bash）は、シェルとコマンド言語インタープリターを兼ねており、Bourne shell（sh）と互換性があります。Bash は、Red Hat Enterprise Linux のデフォルトのシェルです。
特別に細工された一定の環境変数を Bash が診断する方法に欠陥が見つかりました。攻撃者がこの欠陥を利用して、環境制限をオーバーライドまたはバイパスし、シェルコマンドを実行する可能性があります。認証を受けていないリモートの攻撃者が、特定のサービスやアプリケーションを利用して環境変数を提供し、それらにこの問題を悪用させます。
（CVE-2014-6271）
CVE-2014-6271 欠陥の追加情報については、https://access.redhat.com/articles/1200223 の Knowledge Base 記事を参照してください。
Red Hat は、この問題を報告してくれた Stephan Chazelas 氏に感謝の意を表します。
bash の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。
ソリューション
影響を受ける bash パッケージを更新してください。参考資料
https://oss.oracle.com/pipermail/el-errata/2014-September/004473.html
プラグインの詳細
深刻度: Critical
ID: 77849
ファイル名: oraclelinux_ELSA-2014-1294.nasl
バージョン: 1.33
タイプ: local
エージェント: unix
公開日: 2014/9/25
更新日: 2022/12/5
サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Critical
スコア: 9.4
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 8.7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2014-6271
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 9.4
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:H/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:oracle:linux:bash, cpe:/o:oracle:linux:4
必要な KB アイテム: Host/local_checks_enabled, Host/OracleLinux, Host/RedHat/release, Host/RedHat/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2014/9/24
脆弱性公開日: 2014/9/24
CISA の既知の悪用された脆弱性の期限日: 2022/7/28
エクスプロイト可能
Core Impact
Metasploit (Qmail SMTP Bash Environment Variable Injection (Shellshock))
参照情報
CVE: CVE-2014-6271
BID: 70103
IAVA: 2014-A-0142
RHSA: 2014:1294