CVE-2014-6278
GNU-Bash-Schwachstelle für OS-Command-Injection
- Veröffentlicht
- 30.09.2014
- Aktualisiert
- 30.12.2025
- CNA zuweisen
- debian
- Beweise beobachtet
- 29.09.2014
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HHoch · nächste 30 Tage
- Perzentil
- 99,9 %
- Modelldatum
- 26.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
CISA bekanntermaßen ausgenutzt
Dieses CVE erscheint im CISA-Katalog „Known Exploited Vulnerabilities“.
Zusammenfassung
GNU Bash bis einschließlich 4.3 bash43-026 parst Funktionsdefinitionen in den Werten von Umgebungsvariablen nicht ordnungsgemäß, was es entfernten Angreifern ermöglicht, beliebige Befehle über eine manipulierte Umgebung auszuführen, wie durch Vektoren demonstriert wird, die das ForceCommand-Feature in OpenSSH sshd, die Module mod_cgi und mod_cgid im Apache HTTP Server, von nicht näher bezeichneten DHCP-Clients ausgeführte Skripte und andere Situationen betreffen, in denen das Setzen der Umgebung über eine Privilegiengrenze hinweg von der Bash-Ausführung erfolgt. HINWEIS: Diese Schwachstelle besteht aufgrund einer unvollständigen Korrektur für CVE-2014-6271, CVE-2014-7169 und CVE-2014-6277.
Quellen
modules/auxiliary/scanner/http/apache_mod_cgi_bash_env.rb
Metasploit Framework modulesAngegebene Bedingungen
- verification: check_declared($.auxiliary_scanner/http/apache_mod_cgi_bash_env.check)
modules/exploits/multi/http/apache_mod_cgi_bash_env_exec.rb
Metasploit Framework modulesAngegebene Bedingungen
- platform: Linux($.exploit_multi/http/apache_mod_cgi_bash_env_exec.platform)
- verification: check_declared($.exploit_multi/http/apache_mod_cgi_bash_env_exec.check)
modules/exploits/multi/http/cups_bash_env_exec.rb
Metasploit Framework modulesAngegebene Bedingungen
- platform: Unix($.exploit_multi/http/cups_bash_env_exec.platform)
- verification: check_declared($.exploit_multi/http/cups_bash_env_exec.check)
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.