Originalbeschreibung
GNU Bash through 4.3 bash43-026 does not properly parse function definitions in the values of environment variables, which allows remote attackers to execute arbitrary commands via a crafted environment, as demonstrated by vectors involving the ForceCommand feature in OpenSSH sshd, the mod_cgi and mod_cgid modules in the Apache HTTP Server, scripts executed by unspecified DHCP clients, and other situations in which setting the environment occurs across a privilege boundary from Bash execution. NOTE: this vulnerability exists because of an incomplete fix for CVE-2014-6271, CVE-2014-7169, and CVE-2014-6277.
Bekanntermaßen ausgenutzt (CISA KEV)
- Zu KEV hinzugefügt
- 2025-10-02
- Behebungsfrist (US-Bundesbehörden)
- 2025-10-23
- Einsatz durch Ransomware
- Unknown
- Erforderliche Maßnahme
- Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Betroffene Software
- Bash = 4.3= 3.0.16= 2.02.1= 2.0= 3.0= 2.01.1 exakte Übereinstimmung
Details
- Veröffentlicht
- 2014-09-30
- Zuletzt geändert
- 2026-06-17
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H- CWE
- CWE-78
- EPSS (Ausnutzungswahrscheinlichkeit in 30 Tagen)
- 99.74% (Perzentil 100)
Referenzen
- cve.org/CVE-2014-6278
- nvd.nist.gov/vuln/detail/CVE-2014-6278
- jvn.jp/en/jp/JVN55667175/index.html
- jvndb.jvn.jp/jvndb/JVNDB-2014-000126
- lcamtuf.blogspot.com/2014/09/bash-bug-apply-unofficial-patch-now.html
- lcamtuf.blogspot.com/2014/10/bash-bug-how-we-finally-cracked.html
- linux.oracle.com/errata/ELSA-2014-3093
- linux.oracle.com/errata/ELSA-2014-3094
- lists.opensuse.org/opensuse-security-announce/2014-10/msg00004.html
- lists.opensuse.org/opensuse-updates/2014-10/msg00025.html
- marc.info/?l=bugtraq&m=141330468527613&w=2
- marc.info/?l=bugtraq&m=141345648114150&w=2
- marc.info/?l=bugtraq&m=141383026420882&w=2
- marc.info/?l=bugtraq&m=141383081521087&w=2
Verfolgen Sie diese Versionen auf Ihren eigenen Servern
InfraGuard erfasst die installierten Softwareversionen auf jedem Server und markiert diejenigen mit bekannten Schwachstellen. Self-Hosted – nichts verlässt Ihr Netzwerk.
Dieses Produkt verwendet Daten der NVD-API, ist jedoch nicht von der NVD empfohlen oder zertifiziert. CVE® ist eine eingetragene Marke von The MITRE Corporation; CVE-Datensätze werden gemäß den Nutzungsbedingungen des CVE Program verwendet.