GNU Bash OS Command Injection Vulnerability

CheckOps-Prioritätsindex

8,9/10 Binnen 24 h patchen

Schweregrad8,8

Wahrscheinlichkeit10,0

Ausnutzung4/5

Schweregrad = CVSS. Wahrscheinlichkeit = EPSS (FIRST). Ausnutzung = öffentliche Signale: KEV, EUVD, Ransomware, EPSS über 10 %, ohne Konto.

EPSS · heute 99,7 % höher als 99,9 % aller CVE

CVSS 3.1 8,8 AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:

Ausgenutzt seit 397 Tagen 02.10.2025

CISA-Frist 23.10.2025 für US-Bundesbehörden

Ausnutzungswahrscheinlichkeit EPSS · FIRST

EPSS-Wahrscheinlichkeit (%)Perzentil unter allen CVE

Ausnutzungssignale 4 / 5

KEV-Katalog (CISA)02.10.2025
In der EUVD ausgenutzt (ENISA)02.10.2025
Von Ransomware genutztnein
EPSS über 10 %99,7 %
Ohne Konto, über das Netzja

Was tun

Beheben

Auf eine behobene Version aktualisieren: 4.3-9.2

Vorgabe der CISA: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Bis dahin

Den Dienst vom Internet nehmen oder den Zugriff einschränken, Protokolle überwachen und nach Kompromittierungsspuren suchen.

Hersteller (CRA)

Ausgenutzte Schwachstelle in Ihrem Produkt: Frühwarnung an die ENISA binnen 24 h, dann Meldung binnen 72 h (Artikel 14 des Cyber Resilience Act). Der CRA erklärt

Beschreibung ENISA EUVD

GNU Bash through 4.3 bash43-026 does not properly parse function definitions in the values of environment variables, which allows remote attackers to execute arbitrary commands via a crafted environment, as demonstrated by vectors involving the ForceCommand feature in OpenSSH sshd, the mod_cgi and mod_cgid modules in the Apache HTTP Server, scripts executed by unspecified DHCP clients, and other situations in which setting the environment occurs across a privilege boundary from Bash execution. NOTE: this vulnerability exists because of an incomplete fix for CVE-2014-6271, CVE-2014-7169, and CVE-2014-6277.

Text der Quelle, auf Englisch.

Betroffene Produkte

GNU Bash

Schwächen (CWE)

CWE-78

Open-Source-Pakete OSV

bashDebian:11 · CVE-2014-6278
behoben in 4.3-9.2
bashDebian:12 · CVE-2014-6278
behoben in 4.3-9.2
bashDebian:13 · CVE-2014-6278
behoben in 4.3-9.2

Zeitverlauf

30.09.2014
Veröffentlichung
02.10.2025
Ausnutzung gemeldet (ENISA)
02.10.2025
Aufnahme in den KEV-Katalog
23.10.2025
CISA-Frist zur Behebung
10.10.2026
EPSS-Höchstwert: 99,7 %

Weitere ausgenutzte Schwachstellen desselben Herstellers

CVE-2026-24061GNU InetUtils Argument Injection Vulnerability
9,3 · Dauerhaft ausgenutzt
CVE-2023-4911GNU C Library Buffer Overflow Vulnerability
6,8 · Dauerhaft ausgenutzt
CVE-2014-7169GNU Bourne-Again Shell (Bash) Arbitrary Code Execution Vulnerability
9,3 · Dauerhaft ausgenutzt
CVE-2014-6271GNU Bourne-Again Shell (Bash) Arbitrary Code Execution Vulnerability
9,3 · Dauerhaft ausgenutzt