GUN BASH软件代码执行漏洞(CVE-2014-6271)

2014年9月26日 starry 漏洞分析

 

影响版本:
Bash<=4.3 bash43-025

漏洞CVE编号:
CVE-2014-6271
CVE-2014-7169

漏洞描述:
GNU Bash是linux系统上使用最为广泛的shell命令终端解析器。4.3 bash43-025(包含此版本)之前版本的Bash程序在处理环境变量的函数中存在漏洞,允许攻击者使用畸形的参数来执行任意系统命令。

漏洞测试方法:
在系统中输入如下命令:
env x='() { :;}; echo vulnerable’ bash -c “echo this is a test”
如果运行结果显示如下,则表示Bash存在漏洞:
vulnerable
this is a test

影响范围:
此漏洞影响所有使用了Bash的liunx系统,包括Mac os系统。
远程利用目前显示可能存在于开放了远程服务且调用了bash的程序中,例如Apache的cgi程序。由于我们现在还无法确认到底有多少程序调用的bash,因此漏洞的影响还需要持续的跟踪评估。

解决办法:
25号多数系统都已经开发了相应的补丁程序,用户可以使用自己系统的自动更新功能来进行更新,如:
centos系统
yum update bash

最新消息显示,25号发布的补丁仍然有能够绕过的可能,目前官方重新发布了新的补丁,用户应该及时更新自己系统的bash。

参考链接:

https://bugzilla.redhat.com/show_bug.cgi?id=1141597

https://securityblog.redhat.com/2014/09/24/bash-specially-crafted-environment-variables-code-injection-attack/

Comments are currently closed.


Powered by http://wordpress.org/ and http://www.hqpremiumthemes.com/