Translated message

A translation of this page exists in English.

Warning message

This translation is outdated. For the most up-to-date information, please refer to the English version.

Red Hat Enterprise Linux で 特別に作成された環境変数を使用した Bash コード挿入の脆弱性問題の解決方法 (CVE-2014-6271、CVE-2014-7169、CVE-2014-7186、CVE-2014-7187、CVE-2014-6277、CVE-2014-6278)

Solution In Progress - Updated -

Environment

  • Red Hat Enterprise Linux 7
  • Red Hat Enterprise Linux 6
  • Red Hat Enterprise Linux 5
  • Red Hat Enterprise Linux 4

Issue

Resolution

この問題は、Bash シェルを使用し、環境変数の値をパースするすべての製品に影響します。アプリケーションによって Bash が呼び出される経路は数多く存在するため、この問題は特に危険です。アプリケーションが他のバイナリを実行する場合は、その実行のために頻繁に Bash が呼び出されます。このような Bash シェルの広範な使用により、この問題は非常に危険であるため、その認識で対応する必要があります。

CVE-2014-6271の影響を受けないようにするために、システムの Bash が以下のバージョン以降であることを確認してください。

RHSA-2014:1293

  • Red Hat Enterprise Linux 7 - bash-4.2.45-5.el7_0.2
  • Red Hat Enterprise Linux 6 - bash-4.1.2-15.el6_5.1
  • Red Hat Enterprise Linux 5 - bash-3.2-33.el5.1

RHSA-2014:1294

  • Red Hat Enterprise Linux 4 Extended Lifecycle Support - bash-3.0-27.el4.2
  • Red Hat Enterprise Linux 5.6 Long Life - bash-3.2-24.el5_6.1
  • Red Hat Enterprise Linux 5.9 Extended Update Support - bash-3.2-32.el5_9.2
  • Red Hat Enterprise Linux 6.2 Advanced Update Support - bash-4.1.2-9.el6_2.1
  • Red Hat Enterprise Linux 6.4 Extended Update Support - bash-4.1.2-15.el6_4.1

RHSA-2014:1295

  • SJIS for Red Hat Enterprise Linux 6 - bash-4.1.2-15.el6_5.1.sjis.1
  • SJIS for Red Hat Enterprise Linux 5 - bash-3.2-33.el5_11.1.sjis.1

CVE-2014-7169、CVE-2014-7186、CVE-2014-7187、CVE-2014-6277、および CVE-2014-6278 の影響を受けないようにするために、システムの Bash が以下のバージョン以降であることを確認してください。このバージョンには、以前の修正も含まれます。

RHSA-2014:1306

  • Red Hat Enterprise Linux 7 - bash-4.2.45-5.el7_0.4
  • Red Hat Enterprise Linux 6 - bash-4.1.2-15.el6_5.2
  • Red Hat Enterprise Linux 5 - bash-3.2-33.el5_11.4

RHSA-2014:1311

  • Red Hat Enterprise Linux 4 Extended Lifecycle Support - bash-3.0-27.el4.4
  • Red Hat Enterprise Linux 5.6 Long Life - bash-3.2-24.el5_6.2
  • Red Hat Enterprise Linux 5.9 Extended Update Support - bash-3.2-32.el5_9.3
  • Red Hat Enterprise Linux 6.2 Advanced Update Support - bash-4.1.2-9.el6_2.2
  • Red Hat Enterprise Linux 6.4 Extended Update Support - bash-4.1.2-15.el6_4.2

RHSA-2014:1312

  • SJIS for Red Hat Enterprise Linux 6 - bash-4.1.2-15.el6_5.1.sjis.2
  • SJIS for Red Hat Enterprise Linux 5 - bash-3.2-33.el5_11.1.sjis.2

注意: RHEL 4 Standard または Premium エンタイトルメントをお持ちで ELS をお持ちでないお客様に関する補足情報については、https://access.redhat.com/discussions/1211573 を参照してください。

以下のコマンドを実行すると、Bash パッケージが最新バージョンにアップデートされます。

# yum update bash

Bash を特定のバージョンにアップデートするには、パッケージ名を指定します。たとえば、Red Hat Enterprise Linux 6.5 システムをアップデートするには、以下のコマンドを実行します。

# yum update bash-4.1.2-15.el6_5.2

Root Cause

  • 外部環境から Bash に渡された特殊なフォーマットの環境変数を評価する Bash 機能に不具合が見つかりました。この不具合は「Shellshock」と呼ばれています。
    この機能を使用すると、環境の制限を無効または無視して、制限が適用される前にシェルコマンドを実行できるようになります。非認証のリモートの攻撃者が特定のサービスおよびアプリケーションに環境変数を与えることができ、問題を悪用できます。

  • この脆弱性の詳細については、以下のナレッジを参照してください。
    Bash Code Injection Vulnerability via Specially Crafted Environment Variables (CVE-2014-6271)

Diagnostic Steps

  • システムがこの脆弱性の影響を受けるかどうかを特定するには、以下のコマンドを実行して Bash のバージョンを確認します。
# rpm -qa bash

This solution is part of Red Hat’s fast-track publication program, providing a huge library of solutions that Red Hat engineers have created while supporting our customers. To give you the knowledge you need the instant it becomes available, these articles may be presented in a raw and unedited form.

Comments