CVE-2014-6278

HIGH(8.8)KEVWahrscheinlich ausgenutzt

GNU Bash OS Command Injection Vulnerability

Beschreibung

CVE-2014-6278 ist eine OS Command Injection-Schwachstelle in GNU Bash bis einschliesslich Version 4.3 (bash43-026), die unter dem Namen "Shellshock" bekannt wurde. Die Schwachstelle entsteht durch eine fehlerhafte Verarbeitung von Funktionsdefinitionen in Umgebungsvariablen, wodurch entfernte Angreifer beliebige Befehle auf betroffenen Systemen ausfuehren koennen. Diese Schwachstelle existiert als Folge einer unvollstaendigen Behebung der verwandten Schwachstellen CVE-2014-6271, CVE-2014-7169 und CVE-2014-6277.

Die CISA hat CVE-2014-6278 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 23. Oktober 2025. Der EPSS-Score von 89.74 % (99. Perzentil) unterstreicht die ausserordentlich hohe Ausnutzungswahrscheinlichkeit. GNU Bash ist auf nahezu allen Unix-basierten Systemen installiert, was die Angriffsoberflaeche immens macht. Betroffen sind unter anderem Systeme mit OpenSSH sshd (ForceCommand), Apache HTTP Server (mod_cgi/mod_cgid) und zahlreiche DHCP-Clients.

KEV-Informationen

Hersteller
GNU
Produkt
GNU Bash
Hinzugefügt am
2. Oktober 2025
Fälligkeitsdatum
23. Oktober 2025
Erforderliche Maßnahme
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

CVSS-Score

Vektorstring
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnen
Angriffsvektor
NETWORK
Angriffskomplexität
LOW
Erforderliche Privilegien
NONE
Benutzerinteraktion
REQUIRED
Scope
UNCHANGED
Vertraulichkeitsauswirkung
HIGH
Integritätsauswirkung
HIGH
Verfügbarkeitsauswirkung
HIGH
Ausnutzbarkeitsscore
2.8
Auswirkungsscore
5.9

CWEs

CWE-78OS Command Injection

Improper Neutralization of Special Elements used in an OS Command

Betroffene Produkte

HerstellerProduktVersion
gnubash1.14.0; 1.14.1; 1.14.2; 1.14.3; 1.14.4; 1.14.5; 1.14.6; 1.14.7; 2.0; 2.01; 2.01.1; 2.02; 2.02.1; 2.03; 2.04; 2.05; 3.0; 3.0.16; 3.1; 3.2; 3.2.48; 4.0; 4.1; 4.2; 4.3

Referenzen

Schwachstellentyp

CWE-78: OS Command Injection

CVE-2014-6278 basiert auf CWE-78 (OS Command Injection), einer der gefaehrlichsten Schwachstellenklassen in Betriebssystemen und Webanwendungen. Bei OS Command Injection gelingt es einem Angreifer, vom Betriebssystem interpretierte Befehle in eine Anwendung einzuschleusen. Im Fall von GNU Bash werden praeparierte Funktionsdefinitionen in Umgebungsvariablen eingeschleust, die bei der Initialisierung einer neuen Bash-Shell als Befehle ausgefuehrt werden -- unabhaengig davon, ob der Benutzer eine Shell-Ausfuehrung beabsichtigt hat.

Mehr erfahren: CWE-78 -- OS Command Injection

Auswirkungsanalyse

Die Auswirkungen von CVE-2014-6278 sind aufgrund der universellen Verbreitung von GNU Bash als Standard-Shell auf Unix-Systemen enorm. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H zeigt, dass der Angriff ueber das Netzwerk mit niedriger Komplexitaet und ohne Authentifizierung moeglich ist, wobei eine gewisse Benutzerinteraktion erforderlich ist. Vertraulichkeit (Hoch): Ein Angreifer mit Befehlsausfuehrung kann saemtliche auf dem System gespeicherten Daten extrahieren, einschliesslich Konfigurationsdateien, Datenbankinhalte, Zugangsdaten und kryptografischer Schluessel. Integritaet (Hoch): Beliebige Befehle ermoeglichen die Modifikation von Systemdateien, die Installation von Backdoors und die Manipulation von Anwendungsdaten. Verfuegbarkeit (Hoch): Der Angreifer kann Dienste stoppen, Systeme herunterfahren oder Ressourcen erschoepfen. Der extrem hohe EPSS-Score von 89.74 % zeigt, dass Shellshock-Varianten weiterhin zu den am intensivsten angegriffenen Schwachstellen weltweit gehoeren.

Exploit-Reifegrad

CVE-2014-6278 weist eine extrem hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle in den KEV-Katalog aufgenommen. Als Teil der Shellshock-Schwachstellenserie ist oeffentlicher Exploit-Code breit verfuegbar, darunter Exploits auf Exploit-DB (39568) und Exploit-DB (39887), sowie Exploits fuer Oracle Global Desktop/Shellshock. Der EPSS-Score von 89.74 % (99. Perzentil) ist einer der hoechsten ueberhaupt und zeigt anhaltende, intensive Ausnutzung. CVE-2014-6278 entstand als Umgehung der Fixes fuer CVE-2014-6271 und CVE-2014-7169, was die Hartnaeeckigkeit dieser Schwachstellenklasse verdeutlicht. Der Ransomware-Status ist als Unknown klassifiziert.

Behebung

  1. Bash umgehend aktualisieren: Aktualisieren Sie GNU Bash auf Version 4.3 Patch 28 oder hoeher auf allen betroffenen Systemen. Alle Bash-Versionen von 1.14.0 bis 4.3 sind verwundbar. Beachten Sie, dass dies ein Patch fuer eine unvollstaendige Behebung der urspruenglichen Shellshock-Schwachstelle ist.

  2. Betroffene Dienste absichern: Pruefen und haerten Sie alle Dienste, die Umgebungsvariablen an Bash weiterreichen. Dies betrifft insbesondere Apache HTTP Server mit mod_cgi/mod_cgid, OpenSSH mit ForceCommand-Konfiguration sowie DHCP-Clients. Deaktivieren Sie CGI-Skripte, die nicht zwingend benoetigt werden.

  3. Netzwerkbasierte Schutzmassnahmen: Konfigurieren Sie Intrusion Detection/Prevention Systeme mit Signaturen fuer Shellshock-Exploit-Muster. Setzen Sie eine Web Application Firewall ein, die manipulierte Umgebungsvariablen in HTTP-Headern erkennt und blockiert.

  4. Umfassende Systemueberpruefung: Da Bash auf nahezu allen Unix-Systemen installiert ist, erstellen Sie ein vollstaendiges Inventar aller betroffenen Systeme. Pruefen Sie eingebettete Systeme, Netzwerkgeraete und Appliances, die moeglicherweise veraltete Bash-Versionen enthalten und nicht ueber Standard-Paketverwaltung aktualisiert werden koennen.

  5. Alternative Shell-Konfiguration: Erwaegen Sie fuer Systemdienste die Verwendung einer alternativen Shell (z.B. dash) als /bin/sh, da diese nicht von Shellshock betroffen ist. Viele Linux-Distributionen haben diesen Schritt bereits vollzogen.

Technische Details

CVE-2014-6278 betrifft die Verarbeitung von Funktionsdefinitionen in Umgebungsvariablen durch GNU Bash. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H zeigt, dass der Angriff ueber das Netzwerk (AV:N) mit niedriger Komplexitaet (AC:L) ohne Authentifizierung (PR:N), aber mit gewisser Benutzerinteraktion (UI:R) durchfuehrbar ist.

Die Schwachstelle liegt im Bash-Parser, der beim Start einer neuen Shell-Instanz Umgebungsvariablen verarbeitet. Bash erkennt Funktionsdefinitionen in Umgebungsvariablen am Praefix "() {" und fuehrt den nachfolgenden Code aus. Der fehlerhafte Parser verarbeitet jedoch auch Befehle, die nach der Funktionsdefinition angefuegt wurden, und fuehrt diese als regulaere Shell-Befehle aus. CVE-2014-6278 nutzt eine Luecke im Patch fuer die urspruenglichen Shellshock-Schwachstellen aus, bei der bestimmte praeparierte Funktionsdefinitionen die Blacklist-basierte Schutzmassnahme umgehen koennen.

Betroffen sind alle GNU Bash-Versionen von 1.14.0 bis einschliesslich 4.3. Der Angriffsvektor manifestiert sich ueberall dort, wo Umgebungsvariablen ueber eine Privilegiengrenze an Bash-Prozesse uebergeben werden -- insbesondere bei Web-CGI-Anfragen (HTTP-Header werden zu Umgebungsvariablen), SSH-Sitzungen mit ForceCommand und DHCP-Client-Konfigurationen.

Häufig gestellte Fragen

Wird CVE-2014-6278 aktiv ausgenutzt?

Ja, CVE-2014-6278 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen. Als Teil der Shellshock-Schwachstellenserie wird sie seit 2014 kontinuierlich angegriffen. Der EPSS-Score von 89.74 % (99. Perzentil) bestaetigt die anhaltend intensive Ausnutzung.

Welche Produkte sind von CVE-2014-6278 betroffen?

Betroffen ist GNU Bash in allen Versionen von 1.14.0 bis einschliesslich 4.3. Da Bash die Standard-Shell auf den meisten Unix- und Linux-Systemen ist, betrifft die Schwachstelle eine enorme Anzahl an Systemen. Besonders gefaehrdet sind Systeme mit Apache mod_cgi, OpenSSH ForceCommand und DHCP-Clients.

Wie behebe ich CVE-2014-6278?

Aktualisieren Sie GNU Bash auf Version 4.3 Patch 28 oder hoeher auf allen Systemen. Haerten Sie alle Dienste, die Umgebungsvariablen an Bash weiterreichen. Erwaegen Sie die Verwendung einer alternativen Shell wie dash fuer Systemdienste. Setzen Sie netzwerkbasierte Schutzmassnahmen wie IDS/IPS mit Shellshock-Signaturen ein.

Wie schwerwiegend ist CVE-2014-6278?

CVE-2014-6278 ist mit einem CVSS-Score von 8.8 als HIGH eingestuft. Die Schwachstelle ermoeglicht Remote Code Execution auf nahezu jedem Unix-System. Der EPSS-Score von 89.74 % (99. Perzentil) macht sie zu einer der am staerksten ausgenutzten Schwachstellen ueberhaupt.

CVSS-Score

8.8
HIGH(8.8)

EPSS-Score

EPSS-Score99.62%
EPSS-Perzentil99.9%

Daten

Veröffentlicht30. September 2014
Zuletzt geändert17. Juni 2026
StatusAnalyzed
CVSS-Versionv3.1

Quick Links

Zurück zur CVE-Datenbank

Hilfe beim Schwachstellenmanagement?

Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.

Kontakt aufnehmen