検出

GNU Bash の環境変数処理のコードインジェクション (Shellshock)

critical Web App Scanning プラグイン ID 112578

Language:

概要

GNU Bash の環境変数処理のコードインジェクション (Shellshock)

説明

リモート Web サーバーは、GNU Bash のコマンド注入脆弱性（Shellshock）の影響を受けます。この脆弱性は、環境変数の値を定義する関数の後の最後の文字列の処理のためです。これにより、リモートの攻撃者が、システムの構成に応じて、環境変数の操作を通じて任意のコードを実行する可能性があります。

ソリューション

CVE-2014-6271 (Shellshock の元の脆弱性) と CVE-2014-6271 修正のバイパスである CVE-2014-6278 の両方に対処するために、参照されているパッチを適用してください。

参考資料

https://blog.cloudflare.com/inside-shellshock/

https://en.wikipedia.org/wiki/Shellshock_(software_bug)

https://owasp.org/www-pdf-archive/Shellshock_-_Tudor_Enache.pdf

https://seclists.org/oss-sec/2014/q3/650

https://www.troyhunt.com/everything-you-need-to-know-about2/

プラグインの詳細

深刻度: Critical

ID: 112578

タイプ: remote

ファミリー: Component Vulnerability

公開日: 2020/9/10

更新日: 2021/9/7

スキャン テンプレート: api, basic, full, pci, scan

リスク情報

VPR

リスクファクター: Critical

スコア: 9.4

CVSS v2

リスクファクター: Critical

基本値: 10

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS スコアのソース: CVE-2014-6271

CVSS v3

リスクファクター: Critical

基本値: 9.8

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CVSS スコアのソース: CVE-2014-6271

脆弱性情報

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2014/9/24

脆弱性公開日: 2014/9/24

CISA の既知の悪用された脆弱性の期限日: 2022/7/28

参照情報

CVE: CVE-2014-6271, CVE-2014-6278

BID: 70103, 70166