CVE-2014-6271 の修正は不完全であることが判明しましたが、それでも Bash では、特別に細工された環境変数で、特定の文字を他の環境に注入することを許容していました。攻撃者がこの欠陥を利用して、環境制限をオーバーライドまたはバイパスし、シェルコマンドを実行する可能性があります。認証を受けていないリモートの攻撃者が、特定のサービスやアプリケーションを利用して環境変数を提供し、それらにこの問題を悪用させます。
（CVE-2014-7169）

bash 関数を、直接環境変数として作成するアプリケーションには、この更新で名称の処理方法が変更されることを認識させる必要があります。

注：Docker のユーザーは、「yum update」をコンテナ内で使用し、変更結果には従うことをお勧めします。

CVE-2014-6271 および CVE-2014-7169 の追加情報については、https://securityblog.redhat.com/2014/09/24/bash-specially crafted-environment-variables-code-injection-attack/ を参照してください

検出

Scientific Linux セキュリティ更新：SL5.x、SL6.x i386/x86_64（Shellshock）のbash

critical Nessus プラグイン ID 77956

バージョン 1.17