Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
(AV:N/AC:L/Au:N/C:C/I:C/A:C)
Производитель ПО
Наименование ПО
Cisco ACE
(A5(3.0.50))
Cisco ACS
(5.5(0.46))
Cisco IPS
(7.1(9), 7.2, 7.3(3))
Cisco Nexus 1000V
(5.2(1)SV3(1.2) )
Cisco Nexus 5000
(5.2(1)N1(8b), 6.0, 6.0(2)N2(5a), 7.0, 7.0(5)N1(1), 7.1(0), 7.1(0)N1(0.371))
Cisco Nexus 7000
(5.2(9a), 6.0(0), 6.1(5a), 6.2, 6.2(8b))
Cisco Unified Communications Manager
(10.0, 10.0.1.13012.1, 10.5, 10.5.1.11011.1, 8.5.1.17131.2, 8.6, 8.6.1.20012.7, 9.0, 9.1.2.13060.1)
Описание
CVE-2014-6271
Командная оболочка GNU Bash до версии 4.3 включительно ошибочно обрабатывает строки, следующие за объявлением функции, которую экспортируют в качестве переменной. Это позволяет злоумышленнику, действующему удаленно, выполнить произвольный код с помощью вмешательства в переменные окружения. Исследователи безопасности подтвердили возможность эксплуатации этой уязвимости в OpenSSH (sshd, опция ForceCommand), модулях mod_cgi и mod_cgid сервера Apache HTTP, внешних вызовах различных DHCP-клиентов, а также других ситуациях, где переданные извне переменные окружения влияют на выполнение сценариев Bash.
Примечание: первоначальное закрытие данной уязвимости было неполным, вследствие чего была создана еще одна уязвимость, CVE-2014-7169.
CVE-2014-7169
Командная оболочка GNU Bash до версии 4.3 bash43-025 включительно ошибочно обрабатывает строки, следующие за объявлением специально подготовленной функции, которую экспортируют в качестве переменной. Это позволяет злоумышленнику, действующему удаленно, произвести чтение и запись произвольных файлов, а также выполнить другие (пока не уточненные) действия. Исследователи безопасности подтвердили возможность эксплуатации этой уязвимости в OpenSSH (sshd, опция ForceCommand), модулях mod_cgi и mod_cgid сервера Apache HTTP, внешних вызовах различных DHCP-клиентов, а также других ситуациях, где переданные извне переменные окружения влияют на выполнение сценариев Bash.
Примечание: данная уязвимость существует из-за неполного закрытия уязвимости CVE-2014-6271.
Командная оболочка GNU Bash до версии 4.3 включительно ошибочно обрабатывает строки, следующие за объявлением функции, которую экспортируют в качестве переменной. Это позволяет злоумышленнику, действующему удаленно, выполнить произвольный код с помощью вмешательства в переменные окружения. Исследователи безопасности подтвердили возможность эксплуатации этой уязвимости в OpenSSH (sshd, опция ForceCommand), модулях mod_cgi и mod_cgid сервера Apache HTTP, внешних вызовах различных DHCP-клиентов, а также других ситуациях, где переданные извне переменные окружения влияют на выполнение сценариев Bash.
Примечание: первоначальное закрытие данной уязвимости было неполным, вследствие чего была создана еще одна уязвимость, CVE-2014-7169.
CVE-2014-7169
Командная оболочка GNU Bash до версии 4.3 bash43-025 включительно ошибочно обрабатывает строки, следующие за объявлением специально подготовленной функции, которую экспортируют в качестве переменной. Это позволяет злоумышленнику, действующему удаленно, произвести чтение и запись произвольных файлов, а также выполнить другие (пока не уточненные) действия. Исследователи безопасности подтвердили возможность эксплуатации этой уязвимости в OpenSSH (sshd, опция ForceCommand), модулях mod_cgi и mod_cgid сервера Apache HTTP, внешних вызовах различных DHCP-клиентов, а также других ситуациях, где переданные извне переменные окружения влияют на выполнение сценариев Bash.
Примечание: данная уязвимость существует из-за неполного закрытия уязвимости CVE-2014-6271.
Как исправить
Установите самую новую версию bash, включающую в себя устранение обеих уязвимостей.
Ссылки
Источник: CVE
Наименование: CVE-2014-6271
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-6271
Источник: CVE
Наименование: CVE-2014-7169
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-7169
Наименование: CVE-2014-6271
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-6271
Источник: CVE
Наименование: CVE-2014-7169
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-7169
