定番の脆弱性 › CVE-2014-6271
Shellshock（CVE-2014-6271）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
公開日:
過去の事例 この記事は過去に話題になった脆弱性の解説です。現在の状況は公式情報でご確認ください。
基本情報（データから表示）
| 通称 | Shellshock |
|---|---|
| CVE番号 | CVE-2014-6271 |
| いつ起きたか | NVD に登録された日: 2014-09-24 KEV に追加された日: 2022-01-28 |
| 製品 | GNU Bourne-Again Shell (Bash) |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-78 |
何が起きた
コマンドを処理するソフトウェア「GNU Bash」に、環境変数の値の中で、関数の定義のあとに続く余分な文字列まで処理してしまう弱点がありました。攻撃者が細工した環境変数をBashに渡すと、攻撃者が好きに選んだプログラム（任意のコード）を実行できてしまいます。WebサーバーのApache HTTP Serverのmod_cgi・mod_cgidや、OpenSSHのForceCommand機能などを通じて、ネットワーク越しに悪用できることが示されています。この脆弱性は、実際に悪用が確認されたものとしてKEVに載っています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
GNU Bash の 4.3 までのバージョンを使っているシステムが影響を受けます（修正済みかどうかは、公式情報で確認してください）。特に、外から受け取った値を環境変数にしてBashを動かす仕組み（Webサーバーのmod_cgiなど）がある場合が対象になります。
何をすればいい
古い事例ですが、今でも古いBashが使われていないか確認し、メーカー（ベンダー）の案内に従って更新してください。データによると、最初に出された修正は不十分で、修正後も残った問題には別の番号（CVE-2014-7169）が付けられています。最初の修正だけで止まっていないかも、公式情報で確認してください。
用語メモ
- Bash
- 文字でコマンドを入力して、コンピューターを操作するためのソフト（シェル）の一つです。
- 環境変数
- プログラムに設定などを伝えるために使われる、名前つきの値です。
- CGI
- Webサーバーが、受け取ったリクエストに応じて別のプログラムを動かすための仕組みです。
- 任意のコード実行
- 攻撃者が好きに選んだプログラムや命令を、相手のコンピューターで実行できてしまうことです。
元データ（英語）
GNU Bourne-Again Shell (Bash) Arbitrary Code Execution Vulnerability
概要（CISA KEV）
GNU Bash through 4.3 processes trailing strings after function definitions in the values of environment variables, which allows remote attackers to execute code.
説明（NVD）
GNU Bash through 4.3 processes trailing strings after function definitions in the values of environment variables, which allows remote attackers to execute arbitrary code via a crafted environment, as demonstrated by vectors involving the ForceCommand feature in OpenSSH sshd, the mod_cgi and mod_cgid modules in the Apache HTTP Server, scripts executed by unspecified DHCP clients, and other situations in which setting the environment occurs across a privilege boundary from Bash execution, aka "ShellShock." NOTE: the original fix for this issue was incorrect; CVE-2014-7169 has been assigned to cover the vulnerability that is still present after the incorrect fix.