CVE-2014-6271

CritiquePublié

Vulnérabilité d'exécution de code arbitraire dans GNU Bourne-Again Shell (Bash)

Publié: 24 sept. 2014
Mise à jour: 22 oct. 2025
Attribution de CNA: debian
Preuve observée: 25 sept. 2014

CVSS primaire

9,8/ 10Critique

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Estimation de probabilité EPSS

100,0 %

Élevé · 30 prochains jours

Percentile: 100,0 %
Date du modèle: 27 oct. 2026

EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.

CISA Connu Exploité

Ce CVE apparaît dans le catalogue des vulnérabilités exploitées connues de CISA.

Résumé

GNU Bash jusqu'à la version 4.3 traite les chaînes de caractères situées après les définitions de fonctions dans les valeurs des variables d'environnement, ce qui permet à des attaquants distants d'exécuter du code arbitraire via un environnement conçu à cet effet, comme le démontrent des vecteurs impliquant la fonctionnalité ForceCommand dans OpenSSH sshd, les modules mod_cgi et mod_cgid du serveur HTTP Apache, les scripts exécutés par des clients DHCP non spécifiés, et d'autres situations dans lesquelles la définition de l'environnement se produit à travers une frontière de privilèges à partir de l'exécution de Bash, également connu sous le nom de « ShellShock. » NOTE : le correctif d'origine pour ce problème était incorrect ; CVE-2014-7169 a été attribué pour couvrir la vulnérabilité qui est toujours présente après le correctif incorrect.

Sources

Preuves des dépôts: Fichiers : 12 · Dépôts : 3

10 Module1 Modèle1 Laboratoire

Apache mod_cgi Bash Environment Variable Injection (Shellshock) ScannerModule
modules/auxiliary/scanner/http/apache_mod_cgi_bash_env.rb
Metasploit Framework modules
DétectionPreuve observée: 25 sept. 2026Révision: e217fb2d76e3Outil associé
Conditions déclarées
- verification: check_declared($.auxiliary_scanner/http/apache_mod_cgi_bash_env.check)
ShellShock - Remote Code ExecutionModèle
http/cves/2014/CVE-2014-6271.yaml
Nuclei Templates
DétectionPreuve observée: 25 sept. 2026Révision: ecfecad2dec6Outil associé
Conditions déclarées
- network: http($.protocol_keys)
- verification: regex,status($.matchers[*].type)
Bash Shellshock Remote Command InjectionLaboratoire
bash/CVE-2014-6271
Bash Shellshock Remote Command Injection (CVE-2014-6271)
Vulhub vulnerability labs
RecherchePreuve observée: 25 sept. 2026Révision: 9b90d4276f84Outil associé
Conditions déclarées
- lab image version: vulhub/bash:4.3.0-with-httpd(bash/CVE-2014-6271/docker-compose.yml:services.web.image)
DHCP Client Bash Environment Variable Code Injection (Shellshock)Module
modules/auxiliary/server/dhclient_bash_env.rb
Metasploit Framework modules
RecherchePreuve observée: 26 sept. 2026Révision: e217fb2d76e3Outil associé
Conditions déclarées
- verification: check_not_declared($.auxiliary_server/dhclient_bash_env.check)
Advantech Switch Bash Environment Variable Code Injection (Shellshock)Module
modules/exploits/linux/http/advantech_switch_bash_env_exec.rb
Metasploit Framework modules
ExploitPreuve observée: 26 sept. 2026Révision: e217fb2d76e3Outil associé
Conditions déclarées
- platform: Unix($.exploit_linux/http/advantech_switch_bash_env_exec.platform)
- verification: check_declared($.exploit_linux/http/advantech_switch_bash_env_exec.check)
IPFire Bash Environment Variable Injection (Shellshock)Module
modules/exploits/linux/http/ipfire_bashbug_exec.rb
Metasploit Framework modules
ExploitPreuve observée: 26 sept. 2026Révision: e217fb2d76e3Outil associé
Conditions déclarées
- platform: Linux,Unix($.exploit_linux/http/ipfire_bashbug_exec.platform)
- verification: check_declared($.exploit_linux/http/ipfire_bashbug_exec.check)
Pure-FTPd External Authentication Bash Environment Variable Code Injection (Shellshock)Module
modules/exploits/multi/ftp/pureftpd_bash_env_exec.rb
Metasploit Framework modules
ExploitPreuve observée: 26 sept. 2026Révision: e217fb2d76e3Outil associé
Conditions déclarées
- platform: Linux($.exploit_multi/ftp/pureftpd_bash_env_exec.platform)
- verification: check_declared($.exploit_multi/ftp/pureftpd_bash_env_exec.check)
Apache mod_cgi Bash Environment Variable Code Injection (Shellshock)Module
modules/exploits/multi/http/apache_mod_cgi_bash_env_exec.rb
Metasploit Framework modules
ExploitPreuve observée: 26 sept. 2026Révision: e217fb2d76e3Outil associé
Conditions déclarées
- platform: Linux($.exploit_multi/http/apache_mod_cgi_bash_env_exec.platform)
- verification: check_declared($.exploit_multi/http/apache_mod_cgi_bash_env_exec.check)
CUPS Filter Bash Environment Variable Code Injection (Shellshock)Module
modules/exploits/multi/http/cups_bash_env_exec.rb
Metasploit Framework modules
ExploitPreuve observée: 26 sept. 2026Révision: e217fb2d76e3Outil associé
Conditions déclarées
- platform: Unix($.exploit_multi/http/cups_bash_env_exec.platform)
- verification: check_declared($.exploit_multi/http/cups_bash_env_exec.check)
OS X VMWare Fusion Privilege Escalation via Bash Environment Code Injection (Shellshock)Module
modules/exploits/osx/local/vmware_bash_function_root.rb
Metasploit Framework modules
ExploitPreuve observée: 26 sept. 2026Révision: e217fb2d76e3Outil associé
Conditions déclarées
- platform: OSX($.exploit_osx/local/vmware_bash_function_root.platform)
- verification: check_declared($.exploit_osx/local/vmware_bash_function_root.check)

Utilisation responsable

Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.

Résumé

Sources

Preuves des dépôts: Fichiers : 12 · Dépôts : 3

10 Module1 Modèle1 Laboratoire

Apache mod_cgi Bash Environment Variable Injection (Shellshock) ScannerModule
modules/auxiliary/scanner/http/apache_mod_cgi_bash_env.rb
Metasploit Framework modules
DétectionPreuve observée: 25 sept. 2026Révision: e217fb2d76e3Outil associé
Conditions déclarées
- verification: check_declared($.auxiliary_scanner/http/apache_mod_cgi_bash_env.check)
ShellShock - Remote Code ExecutionModèle
http/cves/2014/CVE-2014-6271.yaml
Nuclei Templates
DétectionPreuve observée: 25 sept. 2026Révision: ecfecad2dec6Outil associé
Conditions déclarées
- network: http($.protocol_keys)
- verification: regex,status($.matchers[*].type)
Bash Shellshock Remote Command InjectionLaboratoire
bash/CVE-2014-6271
Bash Shellshock Remote Command Injection (CVE-2014-6271)
Vulhub vulnerability labs
RecherchePreuve observée: 25 sept. 2026Révision: 9b90d4276f84Outil associé
Conditions déclarées
- lab image version: vulhub/bash:4.3.0-with-httpd(bash/CVE-2014-6271/docker-compose.yml:services.web.image)
DHCP Client Bash Environment Variable Code Injection (Shellshock)Module
modules/auxiliary/server/dhclient_bash_env.rb
Metasploit Framework modules
RecherchePreuve observée: 26 sept. 2026Révision: e217fb2d76e3Outil associé
Conditions déclarées
- verification: check_not_declared($.auxiliary_server/dhclient_bash_env.check)
Advantech Switch Bash Environment Variable Code Injection (Shellshock)Module
modules/exploits/linux/http/advantech_switch_bash_env_exec.rb
Metasploit Framework modules
ExploitPreuve observée: 26 sept. 2026Révision: e217fb2d76e3Outil associé
Conditions déclarées
- platform: Unix($.exploit_linux/http/advantech_switch_bash_env_exec.platform)
- verification: check_declared($.exploit_linux/http/advantech_switch_bash_env_exec.check)
IPFire Bash Environment Variable Injection (Shellshock)Module
modules/exploits/linux/http/ipfire_bashbug_exec.rb
Metasploit Framework modules
ExploitPreuve observée: 26 sept. 2026Révision: e217fb2d76e3Outil associé
Conditions déclarées
- platform: Linux,Unix($.exploit_linux/http/ipfire_bashbug_exec.platform)
- verification: check_declared($.exploit_linux/http/ipfire_bashbug_exec.check)
Pure-FTPd External Authentication Bash Environment Variable Code Injection (Shellshock)Module
modules/exploits/multi/ftp/pureftpd_bash_env_exec.rb
Metasploit Framework modules
ExploitPreuve observée: 26 sept. 2026Révision: e217fb2d76e3Outil associé
Conditions déclarées
- platform: Linux($.exploit_multi/ftp/pureftpd_bash_env_exec.platform)
- verification: check_declared($.exploit_multi/ftp/pureftpd_bash_env_exec.check)
Apache mod_cgi Bash Environment Variable Code Injection (Shellshock)Module
modules/exploits/multi/http/apache_mod_cgi_bash_env_exec.rb
Metasploit Framework modules
ExploitPreuve observée: 26 sept. 2026Révision: e217fb2d76e3Outil associé
Conditions déclarées
- platform: Linux($.exploit_multi/http/apache_mod_cgi_bash_env_exec.platform)
- verification: check_declared($.exploit_multi/http/apache_mod_cgi_bash_env_exec.check)
CUPS Filter Bash Environment Variable Code Injection (Shellshock)Module
modules/exploits/multi/http/cups_bash_env_exec.rb
Metasploit Framework modules
ExploitPreuve observée: 26 sept. 2026Révision: e217fb2d76e3Outil associé
Conditions déclarées
- platform: Unix($.exploit_multi/http/cups_bash_env_exec.platform)
- verification: check_declared($.exploit_multi/http/cups_bash_env_exec.check)
OS X VMWare Fusion Privilege Escalation via Bash Environment Code Injection (Shellshock)Module
modules/exploits/osx/local/vmware_bash_function_root.rb
Metasploit Framework modules
ExploitPreuve observée: 26 sept. 2026Révision: e217fb2d76e3Outil associé
Conditions déclarées
- platform: OSX($.exploit_osx/local/vmware_bash_function_root.platform)
- verification: check_declared($.exploit_osx/local/vmware_bash_function_root.check)