1. 树叶云首页
  2. 技术资讯

美国漏洞管理库发布Bash漏洞最新概要

运维••技术资讯

NVD(National Vulnerability Database)是美国政府基于漏洞管理数据的标准知识库，这些数据支持自动化漏洞管理和安全测试，并遵循美国联邦信息安全管理法案(FISMA)。最近美国国家网络感知系统发布了一项针对“CVE-2014-6271 bash远程命令执行漏洞(ShellShock破壳)”的概要，“破壳”漏洞远胜“心脏出血”，看来实至名归。

[[121403]]

Freebuf在这里与大家分享更多shellshock信息，希望大家对ShellShock的影响和原理有更多的了解。闲话不多说，请看下文。

针对CVE-2014-6271 bash远程命令执行漏洞(ShellShock破壳)概要

GNU Bash 4.3及之前版本通过在定义环境变量的值后追加特定字符串可以允许攻击者远程执行任意命令，利用的形式有：

OpenSSL和SSHD配置中使用了ForceCommand用以限制远程用户执行命令;Apache HTTP服务器mod_cgi或者mod_cgid利用;DHCP客户端脚本调用shell执行;其他任何形式的授权调用bash做边界执行的情况等。

特别提到，此问题的原修复是不正确的，修复后漏洞依然存在，因为存在时间长久，影响深远，“破壳”漏洞从此声名远扬!

ShellShock的影响力

CVSS 严重级别(2.0版)：

CVSS V2基本分数： 10.0 (高) (AV:N/AC:L/Au:N/C:C/I:C/A:C)
(小编注："心脏出血"漏洞评5.0)
影响力分数： 10.0
可利用分数： 10.0

CVSS 2.0版本指标：

利用途径：可网络利用
利用复杂性： 低
验证：不需要利用
影响类型：未经授权的信息披露; 允许未经授权的修改; 使服务中断等

参考资源&解决方案&其他工具

美国漏洞管理库分享的资料十分足，下面给出了许多外部资源，选择这些链接，你将离开freebuf到这些其他网站——因为他们可能有更多资料信息，想必是那些运(hei)维(ke)的兴趣。其他网站内容不代表NIST的立场，还有，这不是NIST在打广告哦，freebuf也没有啊，建议查看有质量的评论，如有什么评论可直接推送到NIST邮箱[email protected]。freebuf也想说有什么见(tu)解(cao),请直接在下面占座!

外部来源: SUSE
名称: openSUSE-SU-2014:1238
超链接: http://lists.opensuse.org/opensuse-security-announce/2014-09/msg00040.html
外部来源: SECUNIA
名称: 61700
超链接: http://secunia.com/advisories/61700 
外部来源: CONFIRM
名称: 见链接
超链接: http://www.novell.com/support/kb/doc.php?id=7015701
外部来源: CONFIRM
名称: 见链接
超链接: https://kb.bluecoat.com/index?page=content&id=SA82
外部来源: SECUNIA
名称: 61565
超链接: http://secunia.com/advisories/61565
外部来源: MISC
名称: 见链接
超链接: http://packetstormsecurity.com/files/128567/CA-Technologies-GNU-Bash-Shellshock.html
外部来源: SECUNIA
名称: 61715
超链接: http://secunia.com/advisories/61715 
外部来源: BUGTRAQ
名称: 20141001新vmsa - 2014 - 0010 - VMware关键Bash漏洞更新地址
超链接: http://www.securityfocus.com/archive/1/archive/1/533593/100/0/threaded
外部来源: SECUNIA
名称: 61552年
超链接: http://secunia.com/advisories/61552 
外部来源: CONFIRM
名称:见链接
超链接: https://securityblog.redhat.com/2014/09/24/bash-specially-crafted-environment-variables-code-injection-attack/
外部来源: SECUNIA
名称: 61676
超链接: http://secunia.com/advisories/61676
外部来源: SECUNIA
名称: 61654
超链接: http://secunia.com/advisories/61654
us - cert漏洞笔记: CERT
名称: ta14 - 268 a
超链接: http://www.us-cert.gov/ncas/alerts/TA14-268A 
外部来源: SECUNIA
名称: 61283
超链接: http://secunia.com/advisories/61283
外部来源: 红帽
名称: RHSA-2014:1293
超链接: http://rhn.redhat.com/errata/RHSA-2014-1293.html
外部来源: SUSE
名称: SUSE-SU-2014:1223
超链接: http://lists.opensuse.org/opensuse-security-announce/2014-09/msg00034.html 
外部来源: CONFIRM
名称:见链接
超链接: http://www-01.ibm.com/support/docview.wss?uid=swg21685914 
外部来源: CONFIRM
名称: 见链接
超链接: http://www-01.ibm.com/support/docview.wss?uid=isg3T1021272 
外部来源: 惠普
名称: HPSBGN03117
超链接: http://marc.info/?l=bugtraq&m=141216207813411&w=2 
外部来源: UBUNTU
名称: USN-2362-1
超链接: http://www.ubuntu.com/usn/USN-2362-1 
外部来源: SECUNIA
名称: 61711
超链接: http://secunia.com/advisories/61711 
外部来源: CONFIRM
名称: 见链接
超链接: http://www.vmware.com/security/advisories/VMSA-2014-0010.html 
外部来源: CONFIRM
名称: 见链接
超链接:http://www-01.ibm.com/support/docview.wss?uid=swg21685749 
外部来源:CONFIRM
名称: 见链接
类型: 补丁信息
超链接: https://bugzilla.redhat.com/show_bug.cgi?id=1141597 
外部来源: CONFIRM
名称: 见链接
超链接: http://www.novell.com/support/kb/doc.php?id=7015721 
外部来源: SECUNIA
名称: 59737
超链接: http://secunia.com/advisories/59737 
外部来源: MISC
名称: 见链接
超链接: http://packetstormsecurity.com/files/128517/VMware-Security-Advisory-2014-0010.html 
外部来源: SUSE
名称: SUSE-SU-2014:1260
超链接: http://lists.opensuse.org/opensuse-security-announce/2014-09/msg00049.html 
外部来源: 惠普
名称: HPSBST03122
超链接: http://marc.info/?l=bugtraq&m=141319209015420&w=2 
外部来源: 红帽
名称: RHSA-2014:1295
超链接: http://rhn.redhat.com/errata/RHSA-2014-1295.html 
外部来源: 惠普
名称: HPSBHF03124
超链接: http://marc.info/?l=bugtraq&m=141235957116749&w=2 
外部来源: CONFIRM
名称: 见链接
超链接: http://support.apple.com/kb/HT6495 
外部来源: SECUNIA
名称: 61633
超链接: http://secunia.com/advisories/61633 
外部来源: SECUNIA
名称: 61703
超链接: http://secunia.com/advisories/61703 
外部来源: MISC
名称:见链接
超链接: http://lcamtuf.blogspot.com/2014/09/quick-notes-about-bash-bug-its-impact.html 
外部来源: SECUNIA
名称: 59907
超链接: http://secunia.com/advisories/59907 
外部来源: SUSE
名称: SUSE-SU-2014:1287
超链接: http://lists.opensuse.org/opensuse-security-announce/2014-10/msg00004.htm
l
外部来源: SECUNIA
名称: 61485
超链接: http://secunia.com/advisories/61485 
外部来源: FULLDISC
名称: 20141001 FW: NEW VMSA - 2014 - 0010 - VMware关键Bash安全漏洞更新地址
超链接: http://seclists.org/fulldisclosure/2014/Oct/0 
外部来源: 红帽
名称: RHSA-2014:1294
超链接: http://rhn.redhat.com/errata/RHSA-2014-1294.html 
外部来源: CONFIRM
名称: 见链接
超链接: https://www.suse.com/support/shellshock/ 
外部来源: SECUNIA
名称: 61641年
超链接: http://secunia.com/advisories/61641 
外部来源: 惠普
名称: HPSBHF03119
超链接: http://marc.info/?l=bugtraq&m=141216668515282&w=2 
外部来源: CONFIRM
名称: 见链接
超链接: http://support.novell.com/security/cve/CVE-2014-6271.html 
外部来源: CONFIRM
名称: 见链接
超链接: https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10648 
us - cert漏洞笔记: CERT-VN
名称: VU # 252743
超链接: http://www.kb.cert.org/vuls/id/252743 
外部来源: SUSE
名称: openSUSE-SU-2014:1254
超链接: http://lists.opensuse.org/opensuse-security-announce/2014-09/msg00044.html 
外部来源: SECUNIA
名称: 61603
超链接: http://secunia.com/advisories/61603 
外部来源: SECUNIA
名称: 61503
超链接: http://secunia.com/advisories/61503 
外部来源: 思科
名称: 20140926 GNU Bash环境变量命令注入漏洞
超链接: http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20140926-bash 
外部来源: CONFIRM
名称: 见链接
超链接: http://www.oracle.com/technetwork/topics/security/bashcve-2014-7169-2317675.html
外部来源: SECUNIA
名称: 61643
超链接: http://secunia.com/advisories/61643 
外部来源: DEBIAN
名称: dsa - 3032
超链接: http://www.debian.org/security/2014/dsa-3032

漏洞的软件和版本

配置1

 

* CPE：/ A：GNU：bash中：1.14.0    

* CPE：/ A：GNU：bash中：1.14.1    

* CPE：/ A：GNU：bash中：1.14.2    

* CPE：/ A：GNU：bash中：1.14.3    

* CPE：/ A：GNU：bash中：1.14.4    

* CPE：/ A：GNU：bash中：1.14.5    

* CPE：/ A：GNU：bash中：1.14.6    

* CPE：/ A：GNU：bash中：1.14.7    

* CPE：/ A：GNU：bash中：2.0    

* CPE：/ A：GNU：击：2.01    

* CPE：/ A：GNU：bash中：2.01.1    

* CPE：/ A：GNU：击：2.02    

* CPE：/ A：GNU：bash中：2.02.1    

* CPE：/ A：GNU：击：2.03    

* CPE：/ A：GNU：击：2.04    

* CPE：/ A：GNU：击：2.05    

* CPE：/ A：GNU：庆典：2.05：a

* CPE：/ A：GNU：庆典：2.05：乙    

* CPE：/ A：GNU：bash中：3.0    

* CPE：/ A：GNU：bash中：3.0.16    

* CPE：/ A：GNU：bash中：3.1    

* CPE：/ A：GNU：bash中：3.2    

* CPE：/ A：GNU：bash中：3.2.48    

* CPE：/ A：GNU：bash中：4.0    

* CPE：/ A：GNU：bash中：4.0：RC1    

* CPE：/ A：GNU：bash中：4.1    

* CPE：/ A：GNU：bash中：4.2    

* CPE：/ A：GNU：bash中：4.3    

*表示易受攻击的软件

更多相关的漏洞与配置变化：http://web.nvd.nist.gov/view/cpe/changes

全球范围内已公开的漏洞利用细节：https://github.com/mubix/shellshocker-pocs

CVE标准的漏洞条目 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE，2014-6271

信息来源：http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6271

文章来源网络，作者：运维，如若转载，请注明出处：https://shuyeidc.com/wp/144716.html<

赞 (0)
运维的头像运维
00
上一篇2025-03-10 07:15
下一篇 2025-03-10 07:17

相关推荐

  • 如何制作个人主题技术资讯

    个人主题怎么制作？

    制作个人主题是一个将个人风格、兴趣或专业领域转化为视觉化或结构化内容的过程，无论是用于个人博客、作品集、社交媒体账号还是品牌形象，核心都是围绕“个人特色”展开，以下从定位、内容规划、视觉设计、技术实现四个维度,详细拆解制作个人主题的完整流程，明确主题定位：找到个人特色的核心主题定位是所有工作的起点，需要先回答……

    运维的头像运维
    2025-11-20
    0
  • 如何管理社群营销技术资讯

    社群营销管理关键是什么？

    社群营销的核心在于通过建立有温度、有价值、有归属感的社群，实现用户留存、转化和品牌传播，其管理需贯穿“目标定位-内容运营-用户互动-数据驱动-风险控制”全流程,以下从五个维度展开详细说明：明确社群定位与目标社群管理的首要任务是精准定位，需明确社群的核心价值（如行业交流、产品使用指导、兴趣分享等）、目标用户画像……

    运维的头像运维
    2025-11-20
    0
  • 香港公司如何网站备案技术资讯

    香港公司网站备案需要什么材料？

    香港公司进行网站备案是一个涉及多部门协调、流程相对严谨的过程，尤其需兼顾中国内地与香港两地的监管要求，由于香港公司注册地与中国内地不同，其网站若主要服务内地用户或使用内地服务器，需根据服务器位置、网站内容性质等，选择对应的备案路径（如工信部ICP备案或公安备案），以下从备案主体资格、流程步骤、材料准备、注意事项……

    运维的头像运维
    2025-11-20
    0
  • 如何企业上云推广技术资讯

    如何企业上云推广

    企业上云已成为数字化转型的核心战略,但推广过程中需结合行业特性、企业痛点与市场需求，构建系统性、多维度的推广体系，以下从市场定位、策略设计、执行落地及效果优化四个维度，详细拆解企业上云推广的实践路径，精准定位：明确目标企业与核心价值企业上云并非“一刀切”的方案，需先锁定目标客户群体，提炼差异化价值主张，客户分层……

    运维的头像运维
    2025-11-20
    0
  • PS如何设计搜索框技术资讯

    PS设计搜索框的实用技巧有哪些？

    在PS中设计一个美观且功能性的搜索框需要结合创意构思、视觉设计和用户体验考量，以下从设计思路、制作步骤、细节优化及交互预览等方面详细说明，帮助打造符合需求的搜索框，设计前的规划明确使用场景：根据网站或APP的整体风格确定搜索框的调性，例如极简风适合细线条和纯色，科技感适合渐变和发光效果，电商类则可能需要突出搜索……

    运维的头像运维
    2025-11-20
    0

发表回复

您的邮箱地址不会被公开。必填项已用 * 标注