Shellshock: CVE-2014-6271 in GNU Bash

Bash bis 4.3 führte Befehle aus, die hinter Funktionsdefinitionen in Umgebungsvariablen versteckt waren.

In der NVD veröffentlicht am 24.09.2014

CVE-2014-6271

CVSS 3.1: 9,8 (kritisch) wird aktiv ausgenutzt

Seit dem 28.01.2022 im CISA-Katalog aktiv ausgenutzter Lücken

Ausnutzungswahrscheinlichkeit (EPSS, 01.11.2026): 99,999 %, Perzentil 99,993

Was ist Shellshock?

Shellshock ist eine Lücke in GNU Bash bis Version 4.3. Bash führte Befehle aus, die im Wert einer Umgebungsvariable hinter einer Funktionsdefinition standen. Überall dort, wo eine Umgebungsvariable über eine Rechtegrenze hinweg in die Bash gelangt, kann ein Angreifer Code ausführen, etwa über CGI-Skripte im Apache HTTP Server, DHCP-Clients oder die ForceCommand-Funktion von OpenSSH.

Die NVD bewertet sie mit CVSS 9.8, und CISA führt sie seit dem 28. Januar 2022 als aktiv ausgenutzt. Der erste Fix war unvollständig, das verbliebene Problem hat eine eigene Kennung, CVE-2014-7169.

Betroffene und behobene Versionen

GNU Bash

Betroffen: <= 4.3

Keine behobene Version in den NVD-Daten

Stand in Debian und Ubuntu

Debian 12: bash

Behoben

Behoben ab Paketversion 4.3-9.1

Debian 13: bash

Behoben

Behoben ab Paketversion 4.3-9.1

Ubuntu 14.04 LTS: bash

Behoben

Behoben ab Paketversion 4.3-7ubuntu1.1

Was tun?

Spiel das bash-Sicherheitsupdate deiner Distribution ein, es deckt auch die Folgelücken ab. Debian 12 und 13 liefern Bash 5.2 mit dem Fix aus.

Erseni Patch meldet dir, wenn eine neue Lücke genau deine Version betrifft und wenn dein Release-Zweig keinen Support mehr bekommt. Trag das Programm oder Paket mit deiner Version ein, dann prüfen wir sie sofort.

bash (Debian 12) beobachten

bash (Ubuntu 24.04 LTS) beobachten

Du hast schon ein Konto? Anmelden und bash (Debian 12) eintragen