GNU Bourne-Again Shell (Bash) Arbitrary Code Execution Vulnerability
GNU Bash through 4.3 bash43-025 processes trailing strings after certain malformed function definitions in the values of environment variables, which allows remote attackers to write to files or possibly have unknown other impact via a…
Schweregrad = CVSS. Wahrscheinlichkeit = EPSS (FIRST). Ausnutzung = öffentliche Signale: KEV, EUVD, Ransomware, EPSS über 10 %, ohne Konto.
Ausnutzungswahrscheinlichkeit EPSS · FIRST
Ausnutzungssignale 4 / 5
- KEV-Katalog (CISA)28.01.2022
- In der EUVD ausgenutzt (ENISA)28.01.2022
- Von Ransomware genutztnein
- EPSS über 10 %99,9 %
- Ohne Konto, über das Netzja
Was tun
Beheben
Auf eine behobene Version aktualisieren: 4.3-9.2
Vorgabe der CISA: Apply updates per vendor instructions.
Bis dahin
Den Dienst vom Internet nehmen oder den Zugriff einschränken, Protokolle überwachen und nach Kompromittierungsspuren suchen.
Hersteller (CRA)
Ausgenutzte Schwachstelle in Ihrem Produkt: Frühwarnung an die ENISA binnen 24 h, dann Meldung binnen 72 h (Artikel 14 des Cyber Resilience Act). Der CRA erklärt
Beschreibung ENISA EUVD
GNU Bash through 4.3 bash43-025 processes trailing strings after certain malformed function definitions in the values of environment variables, which allows remote attackers to write to files or possibly have unknown other impact via a crafted environment, as demonstrated by vectors involving the ForceCommand feature in OpenSSH sshd, the mod_cgi and mod_cgid modules in the Apache HTTP Server, scripts executed by unspecified DHCP clients, and other situations in which setting the environment occurs across a privilege boundary from Bash execution. NOTE: this vulnerability exists because of an incomplete fix for CVE-2014-6271.
Text der Quelle, auf Englisch.
Betroffene Produkte
Open-Source-Pakete OSV
- bashDebian:11 · CVE-2014-7169behoben in 4.3-9.2
- bashDebian:12 · CVE-2014-7169behoben in 4.3-9.2
- bashDebian:13 · CVE-2014-7169behoben in 4.3-9.2
Zeitverlauf
-
Veröffentlichung
-
Ausnutzung gemeldet (ENISA)
-
Aufnahme in den KEV-Katalog
-
CISA-Frist zur Behebung
-
EPSS-Höchstwert: 99,9 %
Referenzen
Weitere ausgenutzte Schwachstellen desselben Herstellers
- CVE-2026-24061GNU InetUtils Argument Injection Vulnerability9,3 · Dauerhaft ausgenutzt
- CVE-2014-6278GNU Bash OS Command Injection Vulnerability8,9 · Dauerhaft ausgenutzt
- CVE-2023-4911GNU C Library Buffer Overflow Vulnerability6,8 · Dauerhaft ausgenutzt
- CVE-2014-6271GNU Bourne-Again Shell (Bash) Arbitrary Code Execution Vulnerability9,3 · Dauerhaft ausgenutzt