脆弱性情報/ShellShock bash脆弱性 - kurushima @ 自堕落な技術者のヰキ(公開版)

ShellShock bash脆弱性に関するメモ

bashのバージョン確認

$ bash --version
GNU bash, version 4.1.2(1)-release (x86_64-redhat-linux-gnu)

CVE-2014-6271に影響があるかの確認方法

$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
これでvulnerableと表示されれば影響ありで要パッチ

とても参考になるまとめ

• piyokangoさんのbash脆弱性まとめリンク
• 辻さんのGNU Bashの環境変数処理の不備により任意のコードが実行される脆弱性（CVE-2014-6271,CVE-2014-7169）に関する検証レポート
• ウェブアプリにおけるBash脆弱性の即死条件
• labunix CVE-2014-6271,CVE-2014-7169について調べてみた(Debian Wheezy)

その他未整理

Is Oh My Zsh affected by #shellshock?/Mac OS X bash patch (informal)
https://github.com/robbyrussell/oh-my-zsh/issues/3176

http://unix.stackexchange.com/questions/157329/what-does-env-x-command-bash-do-and-why-is-it-insecure

http://superuser.com/questions/816662/how-do-i-fix-the-shellshock-security-vulnerability-in-debian-testing-jessie