CVE-2014-6271

CRITICAL(9.8)KEVWahrscheinlich ausgenutzt

GNU Bourne-Again Shell (Bash) Arbitrary Code Execution Vulnerability

Beschreibung

CVE-2014-6271, weithin als "Shellshock" bekannt, ist eine kritische OS-Command-Injection-Schwachstelle (CWE-78) in GNU Bash bis einschließlich Version 4.3. Der Fehler ermöglicht es Remote-Angreifern, beliebige Befehle auszuführen, indem sie ausnutzen, wie Bash nachfolgende Zeichenketten nach Funktionsdefinitionen in Umgebungsvariablenwerten verarbeitet. Mit einem CVSS-3.1-Score von 9.8 ist diese Schwachstelle trivial über das Netzwerk ohne Authentifizierung oder Benutzerinteraktion ausnutzbar und betrifft praktisch jedes Linux- und Unix-System, auf dem Bash läuft. CISA hat CVE-2014-6271 am 28. Januar 2022 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 28. Juli 2022. Der EPSS-Score von 0,9422 (99,92. Perzentile) spiegelt eine der höchsten jemals aufgezeichneten Ausnutzungswahrscheinlichkeiten wider.

KEV-Informationen

Hersteller
GNU
Produkt
Bourne-Again Shell (Bash)
Hinzugefügt am
28. Januar 2022
Fälligkeitsdatum
28. Juli 2022
Erforderliche Maßnahme
Apply updates per vendor instructions.

CVSS-Score

Vektorstring
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnen
Angriffsvektor
NETWORK
Angriffskomplexität
LOW
Erforderliche Privilegien
NONE
Benutzerinteraktion
NONE
Scope
UNCHANGED
Vertraulichkeitsauswirkung
HIGH
Integritätsauswirkung
HIGH
Verfügbarkeitsauswirkung
HIGH
Ausnutzbarkeitsscore
3.9
Auswirkungsscore
5.9

CWEs

CWE-78OS Command Injection

Improper Neutralization of Special Elements used in an OS Command

Betroffene Produkte

HerstellerProduktVersion
gnubash<= 4.3
aristaeos>= 4.9.0, < 4.9.12; >= 4.10.0, < 4.10.9; >= 4.11.0, < 4.11.11; >= 4.12.0, < 4.12.9; >= 4.13.0, < 4.13.9; >= 4.14.0, < 4.14.4f
oraclelinux4; 5; 6
qnapqts< 4.1.1; 4.1.1
mageiamageia3.0; 4.0
redhatgluster storage server for on-premise2.1
redhatvirtualization3.4
redhatenterprise linux4.0; 5.0; 6.0; 7.0
redhatenterprise linux desktop5.0; 6.0; 7.0
redhatenterprise linux eus5.9; 6.4; 6.5; 7.3; 7.4; 7.5; 7.6; 7.7
redhatenterprise linux for ibm z systems5.9_s390x; 6.4_s390x; 6.5_s390x; 7.3_s390x; 7.4_s390x; 7.5_s390x; 7.6_s390x; 7.7_s390x
redhatenterprise linux for power big endian5.0_ppc; 5.9_ppc; 6.0_ppc64; 6.4_ppc64; 7.0_ppc64
redhatenterprise linux for power big endian eus6.5_ppc64; 7.3_ppc64; 7.4_ppc64; 7.5_ppc64; 7.6_ppc64; 7.7_ppc64
redhatenterprise linux for scientific computing6.0; 7.0
redhatenterprise linux server5.0; 6.0; 7.0
redhatenterprise linux server aus5.6; 5.9; 6.2; 6.4; 6.5; 7.3; 7.4; 7.6; 7.7
redhatenterprise linux server from rhui5.0; 6.0; 7.0
redhatenterprise linux server tus6.5; 7.3; 7.6; 7.7
redhatenterprise linux workstation5.0; 6.0; 7.0
susestudio onsite1.3

Mehrere CVSS-Bewertungen

Quelle: [email protected](Primary)
9.8
CRITICAL

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0(Secondary)
9.8
CRITICAL

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Referenzen

Schwachstellentyp

CWE-78: Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl ('OS Command Injection')

OS Command Injection tritt auf, wenn Software Betriebssystembefehle unter Verwendung externer Eingaben konstruiert, ohne Shell-Metazeichen ordnungsgemäß zu neutralisieren. Anders als allgemeine Command Injection zielt OS Command Injection speziell auf System-Shells wie Bash, cmd.exe oder PowerShell ab. Angreifer nutzen diese Schwäche aus, indem sie Shell-Metazeichen wie Semikolons, Pipes, Backticks oder Befehlssubstitutionssyntax einschleusen, um den beabsichtigten Befehl zu verändern oder zu erweitern. Die eingeschleusten Befehle werden mit denselben Privilegien wie die anfällige Anwendung ausgeführt.

Bei CVE-2014-6271 unterscheidet sich die Schwachstelle grundlegend von typischer Command Injection, da sie Bashs Funktions-Import-Mechanismus über Umgebungsvariablen ausnutzt statt direkter Benutzereingaben in einen Befehl. Beim Start importiert Bash Funktionsdefinitionen aus Umgebungsvariablen. Der für diesen Import zuständige Parser beendet die Verarbeitung nach der Funktionsdefinition nicht ordnungsgemäß und fährt fort, zusätzliche Befehle nach der schließenden Klammer des Funktionskörpers zu interpretieren und auszuführen. Das bedeutet, dass jeder Prozess, der Umgebungsvariablen aus nicht vertrauenswürdigen Eingaben setzt und anschließend Bash aufruft, zum Ausnutzungsvektor wird. CGI-Skripte, SSH-Forced-Commands, DHCP-Clients und viele andere Unix-Dienste sind betroffen. Mehr über OS Command Injection (CWE-78) erfahren

Auswirkungsanalyse

CVE-2014-6271 hat einen CVSS-3.1-Basiswert von 9.8 (CRITICAL), der das katastrophale Potenzial nicht authentifizierter Remote-Befehlsausführung auf praktisch jedem Unix/Linux-System widerspiegelt.

Vertraulichkeit (Hoch): Erfolgreiche Shellshock-Ausnutzung gewährt dem Angreifer die Fähigkeit, beliebige Befehle mit den Privilegien des angegriffenen Prozesses auszuführen. Für Webserver, die CGI-Skripte ausführen, bedeutet dies typischerweise den Webserver-Benutzer (www-data, apache, nobody), was Zugriff auf Webanwendungs-Quellcode, Konfigurationsdateien mit Datenbank-Anmeldedaten, API-Schlüssel, SSL-Zertifikate und alle für dieses Dienstkonto zugänglichen Daten gewährt.

Integrität (Hoch): Befehlsausführung ermöglicht dem Angreifer, alle vom Zielprozess beschreibbaren Dateien zu modifizieren, Backdoors zu installieren, Webinhalte zu verändern, bösartige Skripte einzuschleusen, Cron-Jobs für Persistenz zu modifizieren und Systemkonfigurationen zu manipulieren. In beobachteten Kampagnen setzten Angreifer Web-Shells, Kryptowährungs-Miner, DDoS-Botnet-Agenten und wurmartige Scanning-Payloads ein, die den Angriff auf andere anfällige Systeme propagierten.

Verfügbarkeit (Hoch): Angreifer können Dienste durch Beenden von Prozessen, Verbrauch von Systemressourcen, Löschen kritischer Dateien oder Einsatz von Ransomware stören. Die in freier Wildbahn beobachteten wurmartigen Ausnutzungsmuster verursachten weitverbreitete Dienststörungen, da automatisierte Angriffe Server mit Exploit-Versuchen überfluteten und bösartige Payloads gleichzeitig Millionen von Systemen trafen.

Scope (Unverändert): Obwohl der CVSS-Scope unverändert ist, ist die praktische Reichweite von Shellshock aufgrund der Allgegenwart von Bash in Unix/Linux-Systemen enorm. Ein einzelner verwundbarer CGI-Endpunkt kann einen gesamten Server kompromittieren. Der EPSS-Score von 0,9422 (99,92. Perzentile) spiegelt nahezu sichere Ausnutzungsaktivität wider.

Exploit-Reifegrad

Aktive Ausnutzung: CVE-2014-6271 wird seit seiner Offenlegung im September 2014 massiv ausgenutzt. Ausnutzungsversuche begannen innerhalb von Stunden nach der öffentlichen Bekanntmachung, wobei automatisierte Scan- und Ausnutzungskampagnen Millionen von internetexponierten Systemen trafen. CISA hat die Schwachstelle am 28. Januar 2022 in den KEV-Katalog aufgenommen und bestätigt damit ihre fortgesetzte Ausnutzung Jahre nach der Offenlegung.

Ransomware-Bezug: Der CISA-KEV-Katalog ordnet CVE-2014-6271 nicht direkt spezifischen Ransomware-Familien zu. Allerdings wurde die Befehlsausführungsfähigkeit in zahlreichen Angriffskampagnen genutzt, darunter Botnet-Rekrutierung, Kryptomining und als initialer Zugang für mehrstufige Angriffe, die Ransomware einschließen könnten.

Öffentliche Exploits: Umfangreicher öffentlicher Exploit-Code ist aus mehreren Quellen verfügbar, darunter Packet Storm Security für Apache mod_cgi-Ausnutzung. Die ursprüngliche Entdeckung durch Stephane Chazelas wurde umfassend dokumentiert von Michal Zalewski. Metasploit, Nmap-NSE-Skripte und zahlreiche eigenständige Tools bieten schlüsselfertige Ausnutzungsmöglichkeiten.

EPSS-Kontext: Der EPSS-Score von 0,9422 (99,92. Perzentile) gehört zu den höchsten jemals aufgezeichneten und spiegelt die extreme Schwere, triviale Ausnutzbarkeit, massive Angriffsfläche und fortgesetzte Ausnutzung ungepatchter Systeme wider.

KEV-Frist: Die CISA-Behebungsfrist war der 28. Juli 2022. Alle Organisationen sollten Bash längst gepatcht haben, aber Legacy-Systeme, eingebettete Geräte und IoT-Equipment können noch anfällig sein.

Behebung

  1. Bash umgehend auf eine gepatchte Version aktualisieren. Wenden Sie das vom Distributor bereitgestellte Bash-Update an, das CVE-2014-6271 und die zugehörigen Bypass-Schwachstellen (CVE-2014-7169, CVE-2014-7186, CVE-2014-7187, CVE-2014-6277, CVE-2014-6278) behebt. Auf Red Hat/CentOS verwenden Sie yum update bash, auf Debian/Ubuntu apt-get update && apt-get install bash, und auf anderen Distributionen folgen Sie den Anweisungen des Herstellers.

  2. Alle Bash-Instanzen in der gesamten Umgebung patchen. Bash ist auf praktisch jedem Linux/Unix-System vorhanden, einschließlich Servern, Arbeitsplätzen, Netzwerkgeräten, eingebetteten Geräten, virtuellen Maschinen und Containern. Führen Sie eine umfassende Inventarisierung durch und stellen Sie sicher, dass jede Bash-Instanz gepatcht ist, einschließlich derer in Docker-Images, Build-Servern und IoT-Geräten.

  3. CGI-Skripte auf Webservern einschränken. Falls mod_cgi oder ähnliche CGI-Implementierungen verwendet werden, prüfen Sie, ob sie notwendig sind, und deaktivieren Sie sie, wenn nicht erforderlich. Migrieren Sie CGI-basierte Anwendungen auf moderne Web-Frameworks, die keine Shell-Prozesse zur Verarbeitung von HTTP-Anfragen aufrufen.

  4. Netzwerkbasierte Filterung für Exploit-Muster implementieren. Setzen Sie WAF-Regeln und IDS/IPS-Signaturen ein, um Shellshock-Ausnutzungsversuche zu erkennen und zu blockieren. Häufige Muster umfassen HTTP-Header, die Bash-Funktionsdefinitionen wie () { gefolgt von Befehlssequenzen in User-Agent, Referer, Cookie oder anderen Header-Feldern enthalten.

  5. Systeme auf Anzeichen früherer Kompromittierung überprüfen. Suchen Sie nach Web-Shells, unautorisierten Cron-Jobs, unerwarteten Netzwerkverbindungen, Kryptowährungs-Mining-Prozessen und DDoS-Bot-Agenten. Jedes internetexponierte System mit ungepatchtem Bash sollte als potenziell kompromittiert behandelt und gründlich untersucht werden.

  6. Bash-Konfiguration härten und Shell-Exposition reduzieren. Konfigurieren Sie Dienste nach Möglichkeit für die Verwendung eingeschränkter Shells oder Nicht-Bash-Alternativen. Minimieren Sie die Verwendung von Shell-Skripten in webexponierten Anwendungen und wenden Sie das Prinzip der geringsten Rechte auf Dienstkonten an, die Bash aufrufen könnten.

Technische Details

CVE-2014-6271 (Shellshock) nutzt einen fundamentalen Parsing-Fehler in der Art und Weise aus, wie GNU Bash Funktionsdefinitionen verarbeitet, die über Umgebungsvariablen importiert werden. Beim Initialisieren durchsucht Bash Umgebungsvariablen nach Funktionsdefinitionen im Format () { Funktionskörper; }. Der anfällige Parser verarbeitet die Funktionsdefinition korrekt, stoppt aber das Parsen an der schließenden Klammer nicht und fährt fort, alle nachfolgenden Befehle zu interpretieren und auszuführen, als wären sie Teil der Initialisierungssequenz.

Der kanonische Ausnutzungs-Payload hat die Form: env x='() { :;}; echo vulnerable' bash -c "echo test". In diesem Beispiel verarbeitet Bash die Umgebungsvariable x, importiert die Funktionsdefinition () { :; } (eine No-Op-Funktion) und führt dann echo vulnerable als unbeabsichtigten Nebeneffekt aus. Jeder Befehl kann echo vulnerable ersetzen, einschließlich Reverse Shells, Dateidownloads und Datenexfiltrationsbefehle.

Der CVSS-3.1-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) spiegelt wider, dass die Ausnutzung trivial einfach ist, wenn ein Angreifer eine beliebige Umgebungsvariable kontrollieren kann, die einen Bash-Prozess erreicht. Der häufigste Angriffsvektor sind HTTP-Header (User-Agent, Referer, Cookie, Accept-Language usw.), die von CGI-Skripten auf Apache oder anderen Webservern verarbeitet werden, wobei der Webserver diese Header als Umgebungsvariablen an den CGI-Handler weitergibt.

Die Grundursache ist ein Grenzfehler in Bashs Funktions-Import-Parser in der Quelldatei variables.c. Die Funktion parse_and_execute() wird aufgerufen, um die Funktionsdefinition aus der Umgebungsvariable zu verarbeiten, aber die Funktion verarbeitet den gesamten String, anstatt nach der Funktionsdefinition zu stoppen. Dieser Designfehler existierte in Bash über 25 Jahre lang vor seiner Entdeckung und betraf jede Bash-Version von 1.03 bis 4.3.

Häufig gestellte Fragen

Was ist CVE-2014-6271 (Shellshock)?

CVE-2014-6271, bekannt als Shellshock, ist eine kritische Command-Injection-Schwachstelle in GNU Bash bis einschließlich Version 4.3. Sie nutzt einen Fehler in der Art aus, wie Bash Funktionsdefinitionen in Umgebungsvariablen verarbeitet, wodurch Angreifer beliebige Befehle anhängen und ausführen können. Die Schwachstelle betrifft praktisch jedes Linux- und Unix-System, auf dem Bash läuft, und wurde innerhalb von Stunden nach ihrer Offenlegung im September 2014 massiv ausgenutzt.

Welche Systeme sind von CVE-2014-6271 betroffen?

Praktisch jedes System, auf dem GNU Bash bis einschließlich Version 4.3 läuft, ist betroffen, einschließlich Linux-Server, macOS-Systeme, BSD-Varianten, eingebettete Geräte, IoT-Equipment, Netzwerkgeräte und Container-Images. Die Schwachstelle ist besonders gefährlich für Systeme, die CGI-basierte Webanwendungen ausführen, SSH-Server mit Forced Commands, DHCP-Clients und jeden Dienst, der nicht vertrauenswürdige Eingaben über Umgebungsvariablen an Bash-Prozesse weitergibt.

Wie behebe ich CVE-2014-6271?

Aktualisieren Sie Bash auf eine Version, die CVE-2014-6271 und alle zugehörigen Bypass-Schwachstellen (CVE-2014-7169 usw.) behebt. Führen Sie den Paketmanager Ihrer Distribution aus, um Bash auf allen Systemen zu aktualisieren. Überprüfen Sie zusätzlich alle Bash-Instanzen, einschließlich derer in Containern, eingebetteten Systemen und Netzwerkgeräten. Implementieren Sie WAF-Regeln zur Erkennung und Blockierung von Shellshock-Ausnutzungsmustern in HTTP-Headern.

Wie schwerwiegend ist CVE-2014-6271?

CVE-2014-6271 ist mit einem CVSS-3.1-Score von 9.8 als KRITISCH eingestuft. Der EPSS-Score von 0,9422 (99,92. Perzentile) gehört zu den höchsten jemals aufgezeichneten. Shellshock gilt aufgrund der Allgegenwart von Bash, der trivialen Ausnutzungsanforderungen und der massiven automatisierten Ausnutzungskampagnen, die weltweit Millionen von Systemen kompromittierten, als eine der bedeutendsten Schwachstellen in der Computergeschichte.

CVSS-Score

9.8
CRITICAL(9.8)

EPSS-Score

EPSS-Score100.00%
EPSS-Perzentil100.0%

Daten

Veröffentlicht24. September 2014
Zuletzt geändert17. Juni 2026
StatusAnalyzed
CVSS-Versionv3.1

Quick Links

Zurück zur CVE-Datenbank

Hilfe beim Schwachstellenmanagement?

Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.

Kontakt aufnehmen