CVE-2014-7169

CRITICAL(9.8)KEVWahrscheinlich ausgenutzt

GNU Bourne-Again Shell (Bash) Arbitrary Code Execution Vulnerability

Beschreibung

CVE-2014-7169 ist eine kritische OS-Command-Injection-Schwachstelle (CWE-78) in GNU Bash bis einschließlich Version 4.3 und stellt einen unvollständigen Fix für die ursprüngliche Shellshock-Schwachstelle (CVE-2014-6271) dar. Der initiale Patch für CVE-2014-6271 hat den zugrunde liegenden Parsing-Fehler nicht vollständig behoben, sodass Angreifer weiterhin beliebige Befehle über speziell gestaltete Umgebungsvariablenwerte mit alternativen Injektionstechniken ausführen können. Mit einem CVSS-3.1-Score von 9.8 teilt diese Schwachstelle dieselben verheerenden Auswirkungscharakteristiken wie ihr Vorgänger: netzwerkausnutzbar, keine Authentifizierung erforderlich, keine Benutzerinteraktion nötig und betrifft praktisch jedes Unix/Linux-System mit Bash. CISA hat CVE-2014-7169 am 28. Januar 2022 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 28. Juli 2022. Der EPSS-Score von 0,90108 (99,59. Perzentile) bestätigt eine extrem hohe Ausnutzungsaktivität.

KEV-Informationen

Hersteller
GNU
Produkt
Bourne-Again Shell (Bash)
Hinzugefügt am
28. Januar 2022
Fälligkeitsdatum
28. Juli 2022
Erforderliche Maßnahme
Apply updates per vendor instructions.

CVSS-Score

Vektorstring
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnen
Angriffsvektor
NETWORK
Angriffskomplexität
LOW
Erforderliche Privilegien
NONE
Benutzerinteraktion
NONE
Scope
UNCHANGED
Vertraulichkeitsauswirkung
HIGH
Integritätsauswirkung
HIGH
Verfügbarkeitsauswirkung
HIGH
Ausnutzbarkeitsscore
3.9
Auswirkungsscore
5.9

CWEs

CWE-78OS Command Injection

Improper Neutralization of Special Elements used in an OS Command

Betroffene Produkte

HerstellerProduktVersion
gnubash<= 4.3
aristaeos>= 4.9.0, < 4.9.12; >= 4.10.0, < 4.10.9; >= 4.11.0, < 4.11.11; >= 4.12.0, < 4.12.9; >= 4.13.0, < 4.13.9; >= 4.14.0, < 4.14.4f
oraclelinux4; 5; 6
qnapqts< 4.1.1; 4.1.1
mageiamageia3.0; 4.0
redhatgluster storage server for on-premise2.1
redhatvirtualization3.4
redhatenterprise linux4.0; 5.0; 6.0; 7.0
redhatenterprise linux desktop5.0; 6.0; 7.0
redhatenterprise linux eus5.9; 6.4; 6.5; 7.3; 7.4; 7.5; 7.6; 7.7
redhatenterprise linux for ibm z systems5.9_s390x; 6.4_s390x; 6.5_s390x; 7.3_s390x; 7.4_s390x; 7.5_s390x; 7.6_s390x; 7.7_s390x
redhatenterprise linux for power big endian5.0_ppc; 5.9_ppc; 6.0_ppc64; 6.4_ppc64; 7.0_ppc64
redhatenterprise linux for power big endian eus6.5_ppc64; 7.3_ppc64; 7.4_ppc64; 7.5_ppc64; 7.6_ppc64; 7.7_ppc64
redhatenterprise linux for scientific computing6.0; 7.0
redhatenterprise linux server5.0; 6.0; 7.0
redhatenterprise linux server aus5.6; 5.9; 6.2; 6.4; 6.5; 7.3; 7.4; 7.6; 7.7
redhatenterprise linux server from rhui5.0; 6.0; 7.0
redhatenterprise linux server tus6.5; 7.3; 7.6; 7.7
redhatenterprise linux workstation5.0; 6.0; 7.0
susestudio onsite1.3

Mehrere CVSS-Bewertungen

Quelle: [email protected](Primary)
9.8
CRITICAL

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0(Secondary)
9.8
CRITICAL

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Referenzen

Schwachstellentyp

CWE-78: Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl ('OS Command Injection')

OS-Command-Injection-Schwachstellen ermöglichen es Angreifern, beliebige Betriebssystembefehle auszuführen, indem bösartige Eingaben in die Shell-Befehlskonstruktion eingeschleust werden. Diese Schwachstellenklasse zielt auf System-Shells wie Bash, cmd.exe und PowerShell ab, wo Metazeichen wie Semikolons, Pipes, Backticks und Befehlssubstitutionsoperatoren die beabsichtigte Befehlsstruktur verändern können. Die Folgen erfolgreicher OS-Command-Injection reichen von Datendiebstahl und Systemmanipulation bis zur vollständigen Infrastrukturkompromittierung.

CVE-2014-7169 adressiert speziell einen Bypass des initialen Shellshock-Fixes (CVE-2014-6271). Während der erste Patch versuchte, die Ausführung nachfolgender Befehle nach Funktionsdefinitionen in Umgebungsvariablen einzuschränken, eliminierte er die Parsing-Schwachstelle nicht vollständig. Forscher entdeckten, dass der Patch durch verschiedene Syntaxmuster umgangen werden konnte, etwa durch Ausgabeumleitung mit > oder Parser-State-Confusion-Techniken. Die Schwachstelle demonstriert eine häufige Herausforderung beim Sicherheitspatching: Der initiale Fix adressierte die spezifische Ausnutzungstechnik statt der Grundursache und ließ den fundamentalen Parser-Fehler über alternative Methoden ausnutzbar. Mehr über OS Command Injection (CWE-78) erfahren

Auswirkungsanalyse

CVE-2014-7169 weist einen CVSS-3.1-Basiswert von 9.8 (CRITICAL) auf, identisch mit der ursprünglichen Shellshock-Schwachstelle, die sie umgeht.

Vertraulichkeit (Hoch): Wie bei CVE-2014-6271 ermöglicht erfolgreiche Ausnutzung die Ausführung beliebiger Befehle mit den Privilegien des angegriffenen Prozesses. Dies bietet vollen Zugriff auf alle für das Dienstkonto zugänglichen Daten, einschließlich Webanwendungs-Quellcode, Datenbank-Anmeldedaten, API-Schlüssel, kryptografisches Material und Benutzerdaten. Systeme, die nur für CVE-2014-6271, nicht aber für CVE-2014-7169 gepatcht wurden, blieben über diesen Bypass vollständig anfällig für Datenexfiltration.

Integrität (Hoch): Befehlsausführung ermöglicht dem Angreifer, Dateien zu modifizieren, persistente Backdoors zu installieren, Systemkonfigurationen zu verändern, Malware einzusetzen und Anwendungslogik zu manipulieren. Der Bypass-Charakter dieser Schwachstelle bedeutet, dass Organisationen, die glaubten, Shellshock durch Anwendung nur des ersten Patches behoben zu haben, weiterhin allen gleichen Integritätsauswirkungen ausgesetzt waren.

Verfügbarkeit (Hoch): Angreifer können Prozesse beenden, Ressourcen verbrauchen, Daten verschlüsseln oder löschen und Systeme funktionsunfähig machen. Die fortgesetzte Verwundbarkeit von Systemen, die nur den initialen Patch angewendet hatten, verlängerte das Ausnutzungsfenster für Shellshock-basierte Kampagnen, was zu zusätzlichen Kompromittierungen in der Zeit zwischen den beiden Patches führte.

Scope (Unverändert): Der Scope bleibt technisch unverändert, erstreckt sich aber praktisch auf die gesamte Serverumgebung, wenn webexponierte Dienste kompromittiert werden. Der EPSS-Score von 0,90108 (99,59. Perzentile) bestätigt, dass diese Bypass-Variante ebenfalls stark ausgenutzt wird.

Exploit-Reifegrad

Aktive Ausnutzung: CVE-2014-7169 wird aktiv in der Praxis ausgenutzt, insbesondere in der kritischen Phase zwischen der Veröffentlichung des initialen Shellshock-Patches und dem umfassenderen Fix. CISA hat die Schwachstelle am 28. Januar 2022 in den KEV-Katalog aufgenommen und bestätigt damit die fortgesetzte Ausnutzung. Bedrohungsakteure passten ihre Shellshock-Exploits nahezu sofort nach Veröffentlichung des ersten Patches an die Bypass-Techniken an.

Ransomware-Bezug: Der CISA-KEV-Katalog ordnet CVE-2014-7169 nicht direkt Ransomware-Kampagnen zu. Als Command-Execution-Schwachstelle mit identischen Auswirkungen wie CVE-2014-6271 eignet sie sich jedoch gleichermaßen für den initialen Zugang in Ransomware-Angriffsketten.

Öffentliche Exploits: Mehrere öffentliche Exploits sind verfügbar, darunter Exploit-Code auf Packet Storm Security und der CA Technologies GNU Bash Shellshock Exploit. Oracle veröffentlichte ein spezifisches Advisory zu dieser Variante in ihren Produkten.

EPSS-Kontext: Der EPSS-Score von 0,90108 (99,59. Perzentile) platziert dies in den obersten 0,5% aller CVEs hinsichtlich der Ausnutzungswahrscheinlichkeit. Obwohl etwas niedriger als der EPSS-Score von CVE-2014-6271, bleibt er außerordentlich hoch.

KEV-Frist: Die CISA-Behebungsfrist war der 28. Juli 2022. Organisationen müssen sicherstellen, dass Patches sowohl CVE-2014-6271 als auch CVE-2014-7169 abdecken.

Behebung

  1. Sicherstellen, dass Bash-Patches sowohl CVE-2014-6271 als auch CVE-2014-7169 abdecken. Der initiale Bash-Patch für Shellshock war unvollständig. Stellen Sie sicher, dass Ihre Systeme den umfassenden Patch haben, der CVE-2014-7169 und alle nachfolgenden Shellshock-Varianten (CVE-2014-7186, CVE-2014-7187, CVE-2014-6277, CVE-2014-6278) behebt. Überprüfen Sie durch Ausführen des Testfalls: env X='() { (a)=>' bash -c "echo date"; cat echo sollte auf gepatchten Systemen keine Datei namens "echo" erzeugen.

  2. Herstellerspezifische Patches umfassend anwenden. Jede Distribution veröffentlichte mehrere Runden von Bash-Updates zur Behebung der Shellshock-Varianten. Auf Red Hat/CentOS, Debian/Ubuntu, SUSE und anderen Distributionen stellen Sie sicher, dass Sie das neueste Bash-Paket mit allen Shellshock-Fixes haben. Prüfen Sie Herstelleradvisories für spezifische Paketversionsanforderungen.

  3. Alle Systeme auf unvollständiges Patching überprüfen. Organisationen, die den ersten Shellshock-Patch angewendet haben, aber nicht die nachfolgenden Updates, haben möglicherweise ein falsches Sicherheitsgefühl. Führen Sie automatisierte Schwachstellenscans durch, um Bash-Instanzen zu identifizieren, die noch für CVE-2014-7169 anfällig sind, einschließlich auf eingebetteten Systemen, in Containern und in VM-Templates.

  4. Alle zuvor als gepatcht geltenden Systeme erneut scannen. Nach dem Patching von CVE-2014-6271 markierten viele Organisationen Shellshock als behoben. CVE-2014-7169 bewies, dass unvollständiges Patching Systeme anfällig ließ. Validieren Sie alle zuvor "gepatchten" Systeme erneut, um zu bestätigen, dass sie gegen diese Bypass-Variante geschützt sind.

  5. Defense-in-Depth-Maßnahmen implementieren. Setzen Sie WAF-Regeln ein, die sowohl das ursprüngliche Shellshock-Muster als auch Bypass-Varianten erkennen. Überwachen Sie den Netzwerkverkehr auf Ausnutzungsversuche mit aktualisierten IDS/IPS-Signaturen, die CVE-2014-7169-spezifische Payloads abdecken.

  6. Bash in webexponierten Diensten nach Möglichkeit nicht verwenden. Ersetzen Sie CGI-Skripte durch moderne Webanwendungs-Frameworks. Wo Shell-Skripte notwendig sind, verwenden Sie Alternativen zu Bash (dash, ash), die von Shellshock-Varianten nicht betroffen sind. Wenden Sie das Prinzip der geringsten Rechte auf alle Dienstkonten an.

Technische Details

CVE-2014-7169 existiert, weil der initiale Fix für CVE-2014-6271 die spezifische Ausnutzungstechnik (nachfolgende Befehle nach Funktionsdefinitionen) adressierte, aber den zugrunde liegenden Parser-Fehler in Bashs Umgebungsvariablenverarbeitung nicht vollständig behob. Sicherheitsforscher Tavis Ormandy demonstrierte, dass der Patch durch alternative Syntax umgangen werden konnte, die verbleibende Parser-State-Probleme ausnutzte.

Der kanonische Test für diese Schwachstelle verwendet: env X='() { (a)=>' bash -c "echo date". Auf anfälligen Systemen erstellt dies eine Datei namens "echo" mit der Ausgabe des date-Befehls, was demonstriert, dass der Parser weiterhin unbeabsichtigte Codeausführung über Umgebungsvariablen ermöglicht. Der Bypass funktioniert, indem er ausnutzt, wie der Parser Syntaxfehler innerhalb von Funktionsdefinitionen behandelt, was ihn in einen verwirrten Zustand versetzt, in dem nachfolgende Befehlselemente ausgeführt werden.

Der CVSS-3.1-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) ist identisch mit CVE-2014-6271, da die Ausnutzungsvoraussetzungen und Auswirkungen gleich sind. Der Angriff ist netzwerkbasiert, erfordert keine Authentifizierung und erreicht volle Befehlsausführung. Der einzige Unterschied ist die spezifische Payload-Syntax, die zum Auslösen der Schwachstelle verwendet wird.

Die Grundursache liegt, wie bei CVE-2014-6271, in der Funktion parse_and_execute() in variables.c. Der initiale Patch versuchte, Grenzprüfungen hinzuzufügen, um die Ausführung nachfolgender Befehle zu verhindern, aber die Behandlung von Fehlerbedingungen und bestimmten syntaktischen Konstrukten durch den Parser ermöglichte weiterhin Codeausführung über verschiedene Codepfade. Der endgültige umfassende Fix erforderte eine fundamentalere Umstrukturierung der Art und Weise, wie Bash Funktionsdefinitionen aus Umgebungsvariablen verarbeitet.

Häufig gestellte Fragen

Was ist CVE-2014-7169?

CVE-2014-7169 ist eine kritische Command-Injection-Schwachstelle in GNU Bash bis einschließlich Version 4.3, die den initialen Patch für die Shellshock-Schwachstelle (CVE-2014-6271) umgeht. Während der erste Shellshock-Fix die ursprüngliche Ausnutzungstechnik verhinderte, zeigt CVE-2014-7169, dass alternative Syntaxmuster weiterhin beliebige Befehlsausführung über Umgebungsvariablen ermöglichten, was einen zweiten, umfassenderen Patch erforderte.

Wie unterscheidet sich CVE-2014-7169 von CVE-2014-6271?

Beide Schwachstellen nutzen denselben fundamentalen Fehler in Bashs Umgebungsvariablen-Funktions-Import-Mechanismus aus. CVE-2014-6271 war die ursprüngliche Shellshock-Schwachstelle, und der erste Patch versuchte sie zu beheben. CVE-2014-7169 wurde entdeckt, als Forscher feststellten, dass der initiale Patch unvollständig war und mit anderen Syntaxmustern umgangen werden konnte. Die Auswirkung ist identisch: nicht authentifizierte Remote-Befehlsausführung auf jedem System, auf dem Bash Umgebungsvariablen aus nicht vertrauenswürdigen Quellen verarbeitet.

Wie behebe ich CVE-2014-7169?

Stellen Sie sicher, dass Ihre Bash-Installation Patches für sowohl CVE-2014-6271 als auch CVE-2014-7169 (und idealerweise alle nachfolgenden Shellshock-Varianten) enthält. Systeme, die nur den ersten Shellshock-Patch erhalten haben, bleiben anfällig. Aktualisieren Sie Bash über den Paketmanager Ihrer Distribution und überprüfen Sie den Fix durch Ausführen des Testfalls. Scannen Sie alle Systeme erneut, die zuvor als für Shellshock gepatcht markiert wurden.

Wie schwerwiegend ist CVE-2014-7169?

CVE-2014-7169 ist mit einem CVSS-3.1-Score von 9.8 als KRITISCH eingestuft, identisch zum ursprünglichen Shellshock. Der EPSS-Score von 0,90108 (99,59. Perzentile) bestätigt eine extrem hohe Ausnutzungswahrscheinlichkeit. Der Bypass-Charakter dieser Schwachstelle bedeutet, dass viele Organisationen, die glaubten, Shellshock behoben zu haben, anfällig blieben, bis sie den umfassenden zweiten Patch anwendeten. CISA führt sie neben CVE-2014-6271 im Known Exploited Vulnerabilities Katalog.

CVSS-Score

9.8
CRITICAL(9.8)

EPSS-Score

EPSS-Score99.94%
EPSS-Perzentil100.0%

Daten

Veröffentlicht25. September 2014
Zuletzt geändert17. Juni 2026
StatusAnalyzed
CVSS-Versionv3.1

Quick Links

Zurück zur CVE-Datenbank

Hilfe beim Schwachstellenmanagement?

Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.

Kontakt aufnehmen