Trusted Design

CVE-2014-6278 の詳細

CVEの情報

説明:
GNU Bash through 4.3 bash43-026 does not properly parse function definitions in the values of environment variables, which allows remote attackers to execute arbitrary commands via a crafted environment, as demonstrated by vectors involving the ForceCommand feature in OpenSSH sshd, the mod_cgi and mod_cgid modules in the Apache HTTP Server, scripts executed by unspecified DHCP clients, and other situations in which setting the environment occurs across a privilege boundary from Bash execution. NOTE: this vulnerability exists because of an incomplete fix for CVE-2014-6271, CVE-2014-7169, and CVE-2014-6277.

CVE更新日: 2014-09-30 10:55:04.723000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2025-10-02

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.996810000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2014-6278は、GNU Bashに存在する深刻な脆弱性「Shellshock（シェルショック）」または「Bashdoor」として知られる一連の脆弱性の一つです。

1. 脆弱性の概要

GNU Bashの環境変数の値の関数定義における不適切な解析に起因する脆弱性です。 攻撃者は、細工された環境変数を介して任意のOSコマンドを実行することが可能です。 この脆弱性は、CVE-2014-6271、CVE-2014-7169、およびCVE-2014-6277に対する不完全な修正によって生じました。

1.1 影響

リモートの攻撃者によって任意のコマンドが実行される可能性があります。 これにより、Webサーバー上のCGIプログラム、OpenSSH sshdのForceCommand機能、DHCPクライアントなど、Bashの実行と権限境界を越えて環境変数が設定される様々な状況で悪用される可能性があります。 攻撃が成功した場合、サーバーの乗っ取りやサービス不能攻撃、特権昇格などが引き起こされる可能性があります。

1.2 深刻度

  • CVSS v3.1 Base Score: 8.8 (High)
    • 攻撃元区分: ネットワーク (Network)
    • 攻撃条件の複雑さ: 低 (Low)
    • 必要な特権: 不要 (None)
    • ユーザーインタラクション: 必要 (Required)
    • スコープ: 変更なし (Unchanged)
    • 機密性への影響: 高 (High)
    • 完全性への影響: 高 (High)
    • 可用性への影響: 高 (High)
  • CVSS v2.0 Base Score: 10.0 (危険/Critical)
  • この脆弱性はCISAのKnown Exploited Vulnerabilities (KEV) カタログにリストされており、実際に悪用が確認されています。
  • EPSS (Exploit Prediction Scoring System) 確率は99.5%と非常に高く、活発な悪用が予想されます。

2. 対象となる環境

2.1 影響を受けるOSバージョン

GNU Bash 4.3 bash43-026 およびそれ以前のバージョンが影響を受けます。 具体的には以下のBashバージョンが影響を受けます。

  • Bash 4.3 Patch 28 およびそれ以前
  • Bash 4.2 Patch 51 およびそれ以前
  • Bash 4.1 Patch 15 およびそれ以前
  • Bash 4.0 Patch 42 およびそれ以前
  • Bash 3.2 Patch 55 およびそれ以前
  • Bash 3.1 Patch 21 およびそれ以前
  • Bash 3.0 Patch 20 およびそれ以前

Debian、CentOS、UbuntuなどのLinuxディストリビューションに含まれるBashパッケージ、macOS、組み込み機器など、Bashを使用する幅広いUNIX系OSが対象となります。 Windows OSは本脆弱性の影響を受けません。

2.2 影響を受ける設定

外部からの入力が環境変数に設定され、それがBashによって処理されるあらゆる状況が影響を受けます。 具体的には以下のシステム設定やサービスが影響を受ける可能性があります。

  • Webサーバー上のCGIプログラムがBashを呼び出す場合
  • OpenSSH sshdのForceCommand機能
  • DHCPクライアント
  • rsyncやgitなど、SSHを使用してユーザーが実行できるリモートコマンドを制限している場合
  • SMTPなどのサービス

3. 影響を受けた時の兆候

直接的な「兆候」として特定の挙動が示されているわけではありませんが、攻撃者が任意のコマンドを実行できるため、以下のようなシステム侵害の一般的な兆候が見られる可能性があります。

  • システムの異常な動作、予期しないプロセスの実行。
  • ファイルシステム内の予期しないファイルの作成、変更、または削除。
  • システムログやセキュリティログにおける異常なアクティビティやエラー。
  • Webサーバーが通常表示しない情報（ファイルシステムの内容、グループ情報など）をHTTP要求への応答として表示する。
  • SSH経由での悪用の場合、制限されたコマンド以外が実行される。
  • サービスが予期せず停止する。

4. 推奨対策

4.1 本対策

  • GNU Bashのバージョンアップまたは対策版の適用： ベンダーから提供されている、脆弱性を修正した最新バージョンのBashを適用してください。十分なテストを実施の上、以下のバージョンへの更新を検討してください。
    • Bash 4.3 Patch 29
    • Bash 4.2 Patch 52
    • Bash 4.1 Patch 16
    • Bash 4.0 Patch 43
    • Bash 3.2 Patch 56
    • Bash 3.1 Patch 22
    • Bash 3.0 Patch 21
    • 各OSディストリビューション（例：Ubuntu, Debian, CentOS）から提供されているセキュリティアップデートを速やかに適用してください。
  • パッチ適用後、関連するすべてのサービスを再起動するか、システムを再起動することが推奨されます。

4.2 暫定回避策（緩和策）

  • 代替シェルの使用: SSHなど、Bash以外のシェルを使用できる場合は、ログインシェルをBash以外に設定することで脅威を緩和できます。
  • IDS/IPSやネットワークパケット監視の導入/強化: 攻撃を検知し、ブロックするためにIDS/IPS (侵入検知/防御システム) やネットワークパケット監視ツールの導入、または既存のシステムの強化を推奨します。
  • Webアプリケーションファイアウォール (WAF) の導入: Mod_SecurityのようなWAFで、Shellshock攻撃パターンをブロックするルールを設定することで、Webベースの攻撃を軽減できます。
  • Bashパーサーの脆弱性が特別に名前付けされた環境変数に限定されるようなパッチを適用することで、CGIスクリプトやSSHなどから直接悪用される可能性が軽減される場合があります。

他に解説すべき観点

  • Shellshockの関連脆弱性: CVE-2014-6278は、2014年9月に立て続けに発見されたBashの複数の脆弱性（CVE-2014-6271, CVE-2014-7169, CVE-2014-7186, CVE-2014-7187, CVE-2014-6277など）の一つであり、これら全体を「Shellshock」と総称します。
  • 広範な影響: BashはLinuxだけでなく、macOSや組み込み機器、IoTデバイスなど、多くのUNIX系OSやシステムで広く使用されているため、この脆弱性は非常に広範囲に影響を及ぼしました。

参照したサイト

  • NVD - CVE-2014-6278
  • CVE-2014-6278 – GNU Bash OS Command Injection Vulnerability - UK Cyber Defence
  • CVE-2014-6278 - Ubuntu
  • CVE-2014-6278 | AttackerKB
  • CVE-2014-6278 - Red Hat Customer Portal
  • GNU bash の脆弱性 ～ shellshock 問題～ について｜お知らせ｜CSIRT - 日本シーサート協議会
  • Shellshock | サイバーセキュリティ情報局
  • GNU Bash における OS コマンドインジェクションの脆弱性(Shellshock)（Scan Tech Report）
  • GNU bash の脆弱性に関する注意喚起 - JPCERT
  • アラート/アドバイザリ : Bash に存在する「Shellshock」脆弱性に対する弊社製品での対応について - Trend Micro
  • 2014年シェルショック脆弱性 - Wikipedia
  • 米当局、脆弱性5件の悪用に注意喚起 -10年以上前の「Shellshock」関連も - Security NEXT
  • JVNDB-2014-004476 - JVN iPedia - 脆弱性対策情報データベース
  • HIRT-PUB14011：日立製品における GNU bash の脆弱性 (CVE-2014-6271 - Hitachi Global
  • OS Attack: GNU Bash CVE-2014-6278 - Broadcom Inc.
  • Mitigating the shellshock vulnerability (CVE-2014-6271 and CVE-2014-7169) - Red Hat Customer Portal
  • Bashに深刻な脆弱性「Shellshock」が発覚！至急アップデートを - クロの思考ノート
  • bashに存在する脆弱性 「Shellshock」について解説 | トレンドマイクロ (JP) - Trend Micro

NVDサイト

NVDでCVEの詳細を見る

戻る