最近の脆弱性 › CVE-2014-6278

GNU GNU Bash のOSコマンドインジェクションの脆弱性（CVE-2014-6278）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2014-6278
製品	GNU GNU Bash
深刻度（CVSS）	8.8 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H`
KEVへの追加日	2025-10-02
米国政府機関の対応期限	2025-10-23
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-78

何が起きた

多くの Linux などで使われるシェル GNU Bash に、環境変数の中の関数の定義を正しく読み取れない弱点が見つかり、実際の悪用が確認されています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が悪用でき、利用者の操作が必要とされています。細工した環境変数を Bash に渡すことで、攻撃者が選んだ任意の命令を実行されるおそれがあります。NVD によると、これは CVE-2014-6271、CVE-2014-7169、CVE-2014-6277 の修正が不十分だったために残った弱点です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、GNU Bash 4.3 の bash43-026 までが対象です。OpenSSH の ForceCommand、Apache HTTP Server の mod_cgi や mod_cgid、DHCP クライアントのスクリプトなど、外から受け取った値を環境変数として Bash に渡す仕組みが攻撃の入り口になります。

何をすればいい

GNU の公式の案内を確認してください。NVD の説明では bash43-026 までが影響を受けるとされ、その次のパッチ bash43-027 では、環境変数の中身だけで関数かどうかを判断しないよう、関数の受け渡し方が変えられています。GNU が公開している最新のパッチを当てた Bash に更新してください。

やることチェックリスト

Bash の版とパッチの番号を確認する
最新のパッチを当てた Bash に更新する
bash43-026 以前の Bash を残さない

用語メモ

シェル: 利用者やプログラムが入力した命令を受け取り、コンピューターに実行させるソフトです。
環境変数: プログラムに設定や情報を渡すために使う、名前と値の組のことです。
mod_cgi: Apache HTTP Server で、外部のプログラム（CGI）を動かして Web ページを作るための部品です。

元データ（英語・CISA KEV より）

GNU Bash OS Command Injection Vulnerability

概要

GNU Bash contains an OS command injection vulnerability which allows remote attackers to execute arbitrary commands via a crafted environment.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.