CVE-2014-6271,CVE-2014-7169 の診断手順と対策について (CentOS 5.10)

また CVSS スコアが10点満点の脆弱性が報告されています。内容は環境変数を利用した Bash コードの挿入です。
これができてしまうと任意のコマンドが実行できてしまう可能性があるため危険性が高いです。

すぐに bash パッケージを更新し再度同じコマンドを叩いて影響を受けない状態になっているか確認しておいたほうが良いと思います。

影響を受ける状態であるか確認する方法が RedHat 社から公開されています。
私が管理しているサーバの1つで確認したところ影響有りの状態でした。

■ 確認手順
確認環境は、CentOS 5.10 です。

# cat /etc/redhat-release 
CentOS release 5.10 (Final)

以下のコマンドを実行します。
vulnerable と出力されたら CVE-2014-6271,CVE-2014-7169 の影響を受けてしまう状態です。
bashコードが挿入されてしまっていることがわかります。

# env x='() { :;}; echo vulnerable'  bash -c "echo this is a test"
vulnerable
this is a test

影響有りの場合、bash パッケージを更新します。

# yum update bash
Loaded plugins: fastestmirror
Loading mirror speeds from cached hostfile
 * base: www.ftp.ne.jp
 * extras: www.ftp.ne.jp
 * updates: www.ftp.ne.jp
Setting up Update Process
Resolving Dependencies
--> Running transaction check
---> Package bash.x86_64 0:3.2-33.el5_10.4 set to be updated
--> Finished Dependency Resolution

Dependencies Resolved

============================================================================================================================================== Package                      Arch                           Version                                    Repository                       Size
==============================================================================================================================================Updating:
 bash                         x86_64                         3.2-33.el5_10.4                            updates                         1.8 M

Transaction Summary
==============================================================================================================================================Install       0 Package(s)
Upgrade       1 Package(s)

Total download size: 1.8 M
Is this ok [y/N]: y
Downloading Packages:
bash-3.2-33.el5_10.4.x86_64.rpm                                                                                        | 1.8 MB     00:00     Running rpm_check_debug
Running Transaction Test
Finished Transaction Test
Transaction Test Succeeded
Running Transaction
  Updating       : bash                                                                                                                   1/2   Cleanup        : bash                                                                                                                   2/2 
Updated:
  bash.x86_64 0:3.2-33.el5_10.4                                                                                                               
Complete!

再度同じコマンドを実行し、vulnerable と出力されないことを確認します。
今度は vulnerable との出力はないため、bash.x86_64 0:3.2-33.el5_10.4 パッケージでは CVE-2014-6271,CVE-2014-7169 の脆弱性は修正済みになっていると判断できます。

# env x='() { :;}; echo vulnerable'  bash -c "echo this is a test"
this is a test

■ 参考
CVSS(Common Vulnerability Scoring System)
http://jvndb.jvn.jp/nav/jvndbhelp.html

Bash Code Injection Vulnerability via Specially Crafted Environment Variables (CVE-2014-6271, CVE-2014-7169)
https://access.redhat.com/articles/1200223

スポンサーリンク