Trusted DesignCVE-2014-7169 の詳細
CVEの情報
説明:
GNU Bash through 4.3 bash43-025 processes trailing strings after certain malformed function definitions in the values of environment variables, which allows remote attackers to write to files or possibly have unknown other impact via a crafted environment, as demonstrated by vectors involving the ForceCommand feature in OpenSSH sshd, the mod_cgi and mod_cgid modules in the Apache HTTP Server, scripts executed by unspecified DHCP clients, and other situations in which setting the environment occurs across a privilege boundary from Bash execution. NOTE: this vulnerability exists because of an incomplete fix for CVE-2014-6271.
CVE更新日: 2014-09-25 01:55:04.367000
CVSSバージョン: 3.1
CVSSスコア: 9.8
KEVの情報
KEV更新日: 2022-01-28
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.999400000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2014-7169は、一般に「Shellshock (シェルショック)」として知られる一連の脆弱性の一つであり、GNU Bashにおける重大な脆弱性です。これは、特にCVE-2014-6271に対する不完全な修正として識別されました。
1. 脆弱性の概要
1.1 影響 攻撃者は、特定の細工が施された環境変数を通じて、リモートから任意のOSコマンドを実行することが可能になります。これにより、ファイルの読み書き、Webコンテンツの改ざん、Webサイトのコード変更、データベースからのユーザー情報の窃取、Webサイト上のパーミッションの変更、バックドア型不正プログラムのインストールなどが実行される可能性があります。サービス運用妨害（DoS）を引き起こす可能性もあります。 この脆弱性自体では権限昇格は行われませんが、他の脆弱性と組み合わせることでルートユーザーに権限昇格される可能性があります。
1.2 深刻度 CVSS v2基本値は「10.0 (危険)」と評価されています（攻撃元区分：ネットワーク、攻撃条件の複雑さ：低、攻撃前の認証要否：不要、機密性への影響：全面的、完全性への影響：全面的、可用性への影響：全面的）。 業界標準では「High (高)」インパクトに分類され、CVSS Impact Subscoreは10で、攻撃の複雑性は低く、実行にはほとんどスキルを必要としません。
2. 対象となる環境
2.1 影響を受けるOSバージョン GNU Bash 4.3 bash43-025以前のバージョンに脆弱性が存在します。 具体的には、Bashバージョン4.3以下のすべてのバージョンに脆弱性が存在するとされています。 多くのLinuxディストリビューション、UNIX系のOS、およびApple Mac OS Xのシステムに影響があります。 影響を受ける可能性のあるディストリビューションとバージョン例: * CentOS 5: bash-3.2-33.el5_10.4 未満のすべてのバージョン * CentOS 6: bash-4.1.2-15.el6_5.2 未満のすべてのバージョン * Red Hat Enterprise Linux (RHEL) 3以前, 4, 5, 6, 7 * Ubuntu (10.04 LTS, 12.04 LTS, 14.04 LTS) * Debian * Bash 4.3 Patch 28 およびそれ以前 * Bash 4.2 Patch 51 およびそれ以前 * Bash 4.1 Patch 15 およびそれ以前 * Bash 4.0 Patch 42 およびそれ以前 * Bash 3.2 Patch 55 およびそれ以前 * Bash 3.1 Patch 21 およびそれ以前 * Bash 3.0 Patch 20 およびそれ以前
2.2 影響を受ける設定 * Webアプリケーション: Apache HTTP Serverでmod_cgiまたはmod_cgidモジュールを使用し、Bashで書かれたCGIプログラムを起動している場合、またはGNU Bashサブシェルを生成する場合。 * SSH: OpenSSH sshdのForceCommand機能や、Git、Subversionの限定された保護機能を迂回して、任意のコマンドを実行できる可能性があります。 * DHCPクライアント: 不正なDHCPサーバーからの応答を処理する際に、環境変数を介してBashを利用してネットワークインタフェース設定を行う場合、悪用される可能性があります。 * その他のサービス: rsh、rlogin、qmail（mail from:、rcpt to: で指定された値を環境変数として取り扱うため）なども影響を受ける可能性があります。
3. 影響を受けた時の兆候
() {」のような文字列が見られる場合があります。error_log）に不審なログが記録されることがあります。4. 推奨対策
4.1 本対策 脆弱性を修正した最新バージョンのBashに速やかにアップデートしてください。 各Linuxディストリビューターから提供されている修正済みパッケージを適用することが推奨されます。 例： * CentOS 5:
bash-3.2-33.el5_10.4以降のバージョン * CentOS 6:bash-4.1.2-15.el6_5.2以降のバージョン * GNU Projectからは以下の修正済みバージョンが公開されています。 * Bash 4.3 Patch 29 * Bash 4.2 Patch 52 * Bash 4.1 Patch 16 * Bash 4.0 Patch 43 * Bash 3.2 Patch 56 * Bash 3.1 Patch 22 * Bash 3.0 Patch 21 修正済みパッケージへのアップデートは、OSやミドルウェアの再起動を必要としない場合があります。4.2 暫定回避策（緩和策） 根本的な解決策はBashのアップデートですが、それが困難な場合の緩和策として以下が挙げられます。 * IDS/IPS/WAFの活用: * トレンドマイクロ Deep Securityのルール「1006256 - GNU Bash Remote Code Execution Vulnerability」や「DSRU14-028」を適用する。 * Trend Micro Deep Discovery Inspectorのルール「1618 – Shellshock HTTP REQUEST」を適用する。 * WAF「Scutum」などのWebアプリケーションファイアウォールを導入し、不正なリクエストをブロックする。 * OfficeScanのGlobal C&C Callback機能を有効にする。 * 環境変数の取り扱い制限: Bashから脆弱性のある機能を完全に削除すると、すべての攻撃が緩和されます。 * SSH鍵の交換、アカウント情報の更新: 万一SSH鍵が窃取されている可能性を考慮し、交換する。 * Webサーバーのログ監視: アクセスログやエラーログを継続的に監視し、不審な文字列や活動がないかを確認する。 * OSの機能制限: FreeBSDやNetBSDでは、関数を自動的にインポートする機能をデフォルトで無効にしました。 * システムベースの軽減策:
LD_PRELOADやsystemtapを用いて、Bashの動作を制限することも考えられますが、高度な知識が必要です。 * 不要なサービスの停止: 影響を受ける可能性のあるサービス（特にCGIを利用するWebサーバーなど）を一時的に停止または制限する。参照したサイト