Article ID: 123006, created on Sep 26, 2014, last review on Nov 21, 2014

  • Applies to:
  • Operations Automation
  • Plesk for Linux/Unix
  • Virtuozzo
  • Virtuozzo containers for Linux
  • Virtuozzo hypervisor

情報

GNU Bash の 4.3 までのバージョンは、環境変数の値の関数定義の後で末尾の文字列を処理するため、リモートからの攻撃者が特別に細工された環境を経由して任意のコードを実行することが可能になります。この脆弱性には「ShellShock」という通称が付いています。ベクターには、OpenSSH sshd の ForceCommand、Apache HTTP Server の mod_cgi および mod_cgid モジュール、不特定の DHCP クライアントに実行されるスクリプト、ならびに Bash 実行により権限境界をまたぐ環境の設定が発生する状況などがあります。

注記:この問題に対して最初に公開されたオリジナルの修正は不十分であり、これを適用しても解消されない脆弱性をカバーするために CVE-2014-7169 が割り当てられています。

症状

インストールした Bash のバージョンが脆弱ではないか確認するには、次の自動スクリプトを使用してください。BashCheck

: 最新バージョンの Bash 4.3 [Ubuntu 14.x、Debian Jessie] は、以前に公開されたスクリプト により、CVE-2014-7186(redir_stack バグ)のチェックで実際には問題のない警告を発します。

脆弱なマシン

$ sh bashcheck
Vulnerable to CVE-2014-6271 (original shellshock)
Vulnerable to CVE-2014-7169 (taviso bug)
./bashcheck: line 18:  6671 Segmentation fault: 11  bash -c "true $(printf '< /dev/null
Vulnerable to CVE-2014-7186 (redir_stack bug)
Test for CVE-2014-7187 not reliable without address sanitizer
Variable function parser still active, likely vulnerable to yet unknown parser bugs like CVE-2014-6277 (lcamtuf bug)

修正済みのマシン

$ sh bashcheck
Not vulnerable to CVE-2014-6271 (original shellshock)
Not vulnerable to CVE-2014-7169 (taviso bug)
Not vulnerable to CVE-2014-7186 (redir_stack bug)
Test for CVE-2014-7187 not reliable without address sanitizer
Variable function parser inactive, likely safe from unknown parser bugs

解決策

Redhat セキュリティグループは、いくつかのステップを経て shellshock 脆弱性を修正しており、それぞれに CVE-2014-6271、CVE-2014-7169、CVE-2014-7186、CVE-2014-7187 という CVE が割り当てられています。

セキュリティ上の影響とベクターの調査結果は、Redhat のセキュリティブログで公開されています。

OS ベンダーから、修正済みの Bash バージョンがリリースされています。

この脆弱性は Parallels 製品に起因するものではありませんが、ネットワーク経由でシステムを悪用することが可能であるため、アップデートのインストールを強くお勧めします。

以下の KB 記事で、各製品の情報をご確認いただけます。

e0aff7830fa22f92062ee4db78133079 caea8340e2d186a540518d08602aa065 198398b282069eaf2d94a6af87dcb3ff 614fd0b754f34d5efe9627f2057b8642 5356b422f65bdad1c3e9edca5d74a1ae 400e18f6ede9f8be5575a475d2d6b0a6 a914db3fdc7a53ddcfd1b2db8f5a1b9c 56797cefb1efc9130f7c48a7d1db0f0c 29d1e90fd304f01e6420fbe60f66f838 a26b38f94253cdfbf1028d72cf3a498b 2897d76d56d2010f4e3a28f864d69223 e8e50b42231236b82df27684e7ec0beb d02f9caf3e11b191a38179103495106f 0dd5b9380c7d4884d77587f3eb0fa8ef

Email subscription for changes to this article