検出

GLSA-201409-10：Bash：コードインジェクション（GLSA 201409-09 の修正を更新しました）

critical Nessus プラグイン ID 77886

Language:

概要

リモートの Gentoo ホストでは、セキュリティに関連するパッチが少なくとも 1 つ不足しています。

説明

リモートホストは、GLSA-201409-10 で説明されている脆弱性の影響を受けます（Bash：コードインジェクション（GLSA 201409-09 の修正を更新しました））

Stephane Chazelas 氏は、Bash が関数の定義を不適切に処理していることを報告しました。これにより、攻撃者が、任意のコードを注入する可能性があります（CVE-2014-6271）。
 Gentoo Linux は、GLSA 201409-09 でこの問題について通知しました。
 Tavis Ormandy 氏は、CVE-2014-6271 のパッチが不完全であることを報告しました。
 このため、この GLSA は GLSA 201409-09 に置き換わります。
 影響：

リモートの攻撃者はこの脆弱性を悪用して、制限環境でも任意のコマンドを実行する可能性があります。
 回避策：

現時点で、既知の回避策はありません。

ソリューション

Bash 3.1 の全ユーザーは、最新バージョンへアップグレードする必要があります：
 # emerge --sync # emerge --ask --oneshot --verbose '>=app-shells/bash-3.1_p18-r1:3.1' Bash 3.2 の全ユーザーは、最新バージョンへアップグレードする必要があります：
 # emerge --sync # emerge --ask --oneshot --verbose '>=app-shells/bash-3.2_p52-r1:3.2' Bash 4.0 の全ユーザーは、最新バージョンへアップグレードする必要があります：
 # emerge --sync # emerge --ask --oneshot --verbose '>=app-shells/bash-4.0_p39-r1:4.0' Bash 4.1 の全ユーザーは、最新バージョンへアップグレードする必要があります：
 # emerge --sync # emerge --ask --oneshot --verbose '>=app-shells/bash-4.1_p12-r1:4.1' Bash 4.2 の全ユーザーは、最新バージョンへアップグレードする必要があります：
 # emerge --sync # emerge --ask --oneshot --verbose '>=app-shells/bash-4.2_p48-r1'

参考資料

https://security.gentoo.org/glsa/201409-10

プラグインの詳細

深刻度: Critical

ID: 77886

ファイル名: gentoo_GLSA-201409-10.nasl

バージョン: 1.13

タイプ: local

公開日: 2014/9/26

更新日: 2022/1/31

サポートされているセンサー: Nessus

リスク情報

VPR

リスクファクター: High

スコア: 7.4

CVSS v2

リスクファクター: Critical

基本値: 10

現状値: 7.8

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

脆弱性情報

CPE: p-cpe:/a:gentoo:linux:bash, cpe:/o:gentoo:linux

必要な KB アイテム: Host/local_checks_enabled, Host/Gentoo/release, Host/Gentoo/qpkg-list

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2014/9/25

CISA の既知の悪用された脆弱性の期限日: 2022/7/28

参照情報

CVE: CVE-2014-7169

BID: 70137

GLSA: 201409-10

IAVA: 2014-A-0142