✖


Jump to content

Shellshock (ошибка программного обеспечения)

«Ошибка Bash» перенаправляется сюда. Соответствующий инструмент сообщения об ошибках см. в разделе Bash (оболочка Unix) § Отчеты об ошибках . Информацию об аркадной игре на ловкость см. в Bashy Bug .

Контузия
Простой логотип Shellshock, похожий на логотип ошибки Heartbleed .
Идентификатор(ы) CVE CVE - 2014-6271 (начальный),
CVE - 2014-6277 ,
CVE - 2014-6278 ,
CVE - 2014-7169 ,
CVE - 2014-7186 ,
CVE - 2014-7187
Дата обнаружения 12 сентября 2014 г .; 9 лет назад ( 12.09.2014 )
Дата исправления 24 сентября 2014 г .; 9 лет назад ( 24.09.2014 )
Первооткрыватель Стефан Шазелас
Затронутое программное обеспечение Баш (1.0.3–4.3)

Shellshock , также известный как Bashdoor , [1] это семейство ошибок безопасности [2] в Unix Bash оболочке , первая из которых была раскрыта 24 сентября 2014 года. Shellshock может позволить злоумышленнику заставить Bash выполнить произвольные команды и получить несанкционированный доступ [3] ко многим интернет-сервисам, таким как веб-серверы, которые используют Bash для обработки запросов.

12 сентября 2014 года Стефан Шазела проинформировал сопровождающего Bash Чета Рэми. [1] о его открытии оригинальной ошибки, которую он назвал «Bashdoor». Работая с экспертами по безопасности, г-н Шазелас разработал патч. [1] (исправление) проблемы, которой к тому времени был присвоен идентификатор уязвимости CVE - 2014-6271 . [4] О существовании ошибки было объявлено 24 сентября 2014 г., когда обновления Bash с исправлением были готовы к распространению. [5]

Ошибка, обнаруженная Чазеласом, приводила к тому, что Bash непреднамеренно выполнял команды, когда команды объединяются в конец определений функций , хранящихся в значениях переменных среды . [1] [6] Через несколько дней после публикации было обнаружено множество связанных уязвимостей ( CVE — 2014-6277 , CVE- 2014-6278 , CVE- 2014-7169 , CVE- 2014-7186 и CVE- 2014-7187 ). Рэми решил эту проблему, выпустив серию дальнейших патчей. [7] [8]

Злоумышленники воспользовались Shellshock в течение нескольких часов после первоначального раскрытия, создав бот-сети из скомпрометированных компьютеров для выполнения распределенных атак типа «отказ в обслуживании» и сканирования уязвимостей . [9] [10] Охранные компании зафиксировали миллионы атак и проверок, связанных с ошибкой, в течение нескольких дней после ее раскрытия. [11] [12]

сравнивали с ошибкой Heartbleed . Из-за потенциальной угрозы компрометации миллионов неисправленных систем Shellshock по степени серьезности [3] [13]

Фон

[ редактировать ]

Ошибка Shellshock затрагивает Bash — программу, которую различные системы на базе Unix используют для выполнения командных строк и командных сценариев. системы по умолчанию Он часто устанавливается в качестве интерфейса командной строки . Анализ истории исходного кода Bash показывает, что ошибка была обнаружена 5 августа 1989 года и выпущена в версии Bash 1.03 1 сентября 1989 года. [14] [15] [16]

Shellshock — это уязвимость выполнения произвольного кода , которая позволяет пользователям системы выполнять команды, которые должны быть для них недоступны. Это происходит с помощью функции «экспорта функций» Bash, благодаря которой один процесс Bash может использовать командные сценарии совместно с другими процессами Bash, которые он выполняет. [17] Эта функция реализуется путем кодирования сценариев в таблице, которая является общей для всех процессов и называется списком переменных среды . Каждый новый процесс Bash сканирует эту таблицу на наличие закодированных сценариев, объединяет каждый из них в команду, которая определяет этот сценарий в новом процессе, и выполняет эту команду. [18] Новый процесс предполагает, что сценарии, найденные в списке, принадлежат другому процессу Bash, но он не может проверить это, а также не может проверить, что созданная им команда является правильно сформированным определением сценария. Таким образом, злоумышленник может выполнять произвольные команды в системе или использовать другие ошибки, которые могут существовать в интерпретаторе команд Bash, если у злоумышленника есть способ манипулировать списком переменных среды, а затем запускать Bash. На момент обнаружения ошибки Bash был установлен в macOS и многих операционных системах Linux в качестве основного интерпретатора команд, поэтому любая программа, использовавшая system функция для запуска любой другой программы будет использовать для этого Bash.

О наличии ошибки было объявлено общественности 24 сентября 2014 г., когда обновления Bash с исправлением были готовы к распространению. [5] хотя на обновление компьютеров потребовалось некоторое время, чтобы устранить потенциальную проблему безопасности.

Сообщения об атаках

[ редактировать ]

В течение часа после объявления об уязвимости Bash появились сообщения о том, что эта ошибка скомпрометировала машины. К 25 сентября 2014 года ботнеты на базе компьютеров, скомпрометированных с помощью эксплойтов, основанных на этой ошибке, использовались злоумышленниками для распределенных атак типа «отказ в обслуживании» (DDoS) и сканирования уязвимостей . [9] [10] [19] «Лаборатория Касперского» сообщила, что компьютеры, скомпрометированные в результате атаки, получившей название «Спасибо-Роб», проводили DDoS-атаки на три цели, которые они не идентифицировали. [9] 26 сентября 2014 года сообщалось о связанном с Shellshock ботнете, получившем название «wopbot», который использовался для DDoS-атаки на Akamai Technologies и для сканирования Министерства обороны США . [10]

26 сентября охранная фирма Incapsula отметила 17 400 атак на более чем 1800 веб-доменов, исходящих с 400 уникальных IP-адресов, за предыдущие 24 часа; 55% атак было совершено из Китая и США. [11] К 30 сентября компания CloudFlare, занимающаяся производительностью веб-сайтов , заявила, что ежедневно отслеживает около 1,5 миллионов атак и проверок, связанных с ошибкой. [12]

6 октября стало широко известно, что Yahoo! серверы были скомпрометированы в результате атаки, связанной с проблемой Shellshock. [20] [21] Однако на следующий день было опровергнуто, что именно Shellshock допустил эти атаки. [22]

Конкретные векторы эксплуатации

[ редактировать ]
Веб-сервер на основе CGI
Когда веб-сервер использует общий интерфейс шлюза (CGI) для обработки запроса документа, он копирует определенную информацию из запроса в список переменных среды, а затем делегирует запрос программе-обработчику. Если обработчиком является сценарий Bash или он выполняет Bash, то Bash получит переменные среды, переданные сервером, и обработает их, как описано выше. Это дает злоумышленнику возможность активировать уязвимость Shellshock с помощью специально созданного запроса документа. [6]
В документации по безопасности широко используемого веб-сервера Apache говорится: «CGI-скрипты могут... быть чрезвычайно опасными, если их тщательно не проверять». [23] и вместо этого обычно используются другие методы обработки запросов веб-сервера. Существует ряд онлайн-сервисов, которые пытаются проверить уязвимость веб-серверов, подключенных к Интернету. [ нужна ссылка ]
OpenSSH-сервер
OpenSSH имеет функцию «ForceCommand», при которой при входе пользователя в систему выполняется фиксированная команда, а не просто запуск неограниченной командной оболочки. Фиксированная команда выполняется, даже если пользователь указал, что должна быть запущена другая команда; в этом случае исходная команда помещается в переменную среды «SSH_ORIGINAL_COMMAND». Когда принудительная команда запускается в оболочке Bash (если для пользовательской оболочки задано значение Bash), оболочка Bash при запуске анализирует переменную среды SSH_ORIGINAL_COMMAND и запускает встроенные в нее команды. Пользователь использовал свой ограниченный доступ к оболочке, чтобы получить неограниченный доступ к оболочке, используя ошибку Shellshock. [24]
DHCP-клиенты
Некоторые клиенты DHCP также могут передавать команды Bash; уязвимая система может быть атакована при подключении к открытой сети Wi-Fi. Клиент DHCP обычно запрашивает и получает IP-адрес от сервера DHCP, но ему также может быть предоставлен ряд дополнительных опций. В одном из этих вариантов вредоносный DHCP-сервер может предоставить строку, предназначенную для выполнения кода на уязвимой рабочей станции или ноутбуке. [13]
Qmail-сервер
При использовании Bash для обработки сообщений электронной почты (например, через канал .forward или qmail-alias) почтовый сервер qmail передает внешние входные данные таким образом, что можно использовать уязвимую версию Bash. [25] [7]
Ограниченная оболочка IBM HMC
Эту ошибку можно использовать для получения доступа к Bash из ограниченной оболочки Console IBM Hardware Management . [26] крошечный вариант Linux для системных администраторов. IBM выпустила исправление для решения этой проблемы. [27]

Сообщенные уязвимости

[ редактировать ]

Обзор

[ редактировать ]

Сопровождающий Bash был предупрежден о первом обнаружении ошибки 12 сентября 2014 г.; вскоре последовало исправление. [1] Несколько компаний и дистрибьюторов были проинформированы до того, как этот вопрос был публично раскрыт 24 сентября 2014 г. с идентификатором CVE CVE — 2014-6271 . [4] [5] Однако после выпуска патча появились сообщения о различных, но связанных между собой уязвимостях. [28]

26 сентября 2014 года два участника открытого исходного кода, Дэвид А. Уиллер и Норихиро Танака, отметили, что возникли дополнительные проблемы даже после исправления систем с использованием самых последних доступных исправлений. В электронном письме, адресованном спискам рассылки oss-sec и bash-bug, Уиллер написал: «Этот патч просто продолжает работу «ударь крота» [ sic ] по исправлению ошибок синтаксического анализа, которая началась с первого патча. Парсер Bash определенные [иметь] много-много-много других уязвимостей». [29]

27 сентября 2014 года Михал Залевски из Google Inc. объявил об обнаружении других уязвимостей Bash: [7] один основан на том факте, что Bash обычно компилируется без рандомизации структуры адресного пространства . [30] 1 октября Залевски опубликовал подробную информацию об последних ошибках и подтвердил, что патч Флориана Веймера из Red Hat , опубликованный 25 сентября, действительно предотвращает их. Он сделал это, используя технику фаззинга с помощью программной утилиты, известной как American fuzzy lop . [31]

Первоначальный отчет (CVE-2014-6271)

[ редактировать ]

Эта исходная форма уязвимости ( CVE — 2014-6271 ) включает специально созданную переменную среды, содержащую экспортированное определение функции, за которым следуют произвольные команды. Bash неправильно выполняет завершающие команды при импорте функции. [32] Уязвимость можно проверить с помощью следующей команды: 

env   x  =  '() {:;}; echo уязвимый'   bash   -c   "echo, это тест"

В системах, затронутых уязвимостью, приведенные выше команды будут отображать слово «уязвимый» в результате выполнения Bash команды «echo уязвимый» , которая была встроена в специально созданную переменную среды с именем «x» . [8] [33]

CVE-2014-6277

[ редактировать ]

Открыт Михалом Залевским . [7] [30] [34] уязвимость CVE - 2014-6277 , который относится к синтаксическому анализу определений функций в переменных окружения с помощью Bash, может вызвать ошибку segfault . [35]

CVE-2014-6278

[ редактировать ]

Также обнаружен Михалом Залевским . [35] [36] эта ошибка ( CVE - 2014-6278 ) относится к анализу определений функций в переменных среды с помощью Bash.

CVE-2014-7169

[ редактировать ]

В тот же день, когда была опубликована исходная уязвимость, Тэвис Орманди обнаружил связанную с ней ошибку ( CVE — 2014-7169 ), [24] которыйпродемонстрировано в следующем коде: 

env   X  =  '() { (a)=>\'   bash   -c   "echo date"  ;   кошачье   эхо

В уязвимой системе это приведет к непреднамеренному выполнению команды «дата». [24]

Вот пример системы, в которой есть исправление для CVE-2014-6271, но нет CVE-2014-7169: 

$  X  =  '() { (a)=>\'   bash   -c   "echo date"  bash: X: строка 1: синтаксическая ошибка рядом с неожиданным токеном `='  bash: X: строка 1: `'  bash: ошибка функции импорта определение для `X'  $  cat   echo  Пт, 26 сентября 01:37:16 UTC 2014

Система отображает синтаксические ошибки, уведомляя пользователя о том, что появление CVE-2014-6271 предотвращено, но по-прежнему записывает в рабочий каталог файл с именем «echo», содержащий результат вызова «date».

Система, исправленная как для CVE-2014-6271, так и для CVE-2014-7169, будет просто отображать слово «дата», и файл «echo» не будет создан, как показано ниже: 

$  X  =  '() { (a)=>\'   bash   -c   "echo date"  date  $  cat   echo  cat: echo: Нет такого файла или каталога

CVE-2014-7186

[ редактировать ]

Флориан Веймер и Тодд Сабин нашли эту ошибку ( CVE - 2014-7186 ), [8] [31] что связано с ошибкой доступа к памяти за пределами границ в коде парсера Bash. [37]

Пример уязвимости, которая использует использование нескольких объявлений «<<EOF» (вложенных «здесь документы» ): 

bash   -c   'true <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF'   ||  echo   "CVE-2014-7186 уязвим, redir_stack"

Уязвимая система отобразит текст «CVE-2014-7186 уязвимый, redir_stack».

CVE-2014-7187

[ редактировать ]

Также найден Флорианом Веймером, [8] CVE - 2014-7187 — это ошибка в коде парсера Bash, допускающая выход за пределы памяти. [38]

Пример уязвимости, которая использует использование нескольких объявлений «готово»: 

(  for   x   in   {  1  ..200  }   ;   do   echo   " for x  $x  in ; do :"  ;   Done  ;   for   x   in   {  1  ..200  }   ;   do   echo   Done   ;   Done  )   |   баш   ||  echo   "CVE-2014-7187 уязвим, word_lineno"

Уязвимая система отобразит текст «CVE-2014-7187 уязвим, word_lineno». Для этого теста требуется оболочка, поддерживающая расширение скобок . [39]

Патчи

[ редактировать ]

До 24 сентября 2014 года сопровождающий Bash Чет Рэми предоставил исправленную версию bash43-025 для Bash 4.3, устраняющую CVE-2014-6271. [40] который уже был упакован сопровождающими дистрибутива. 24 сентября последовал bash43-026, адресованный CVE-2014-7169. [41] Затем была обнаружена CVE-2014-7186. Флориан Веймер из Red Hat опубликовал код патча для этого «неофициально» 25 сентября. [42] который Рэми включил в Bash как bash43-027. [43] [44] — Эти патчи содержали только исходный код , что полезно только для тех, кто знает, как скомпилировать (« перестроить ») новый двоичный исполняемый файл Bash из файла патча и оставшихся файлов исходного кода. В патчах добавлен префикс имени переменной при экспорте функций; это предотвратило возникновение уязвимости произвольными переменными и позволило другим программам удалять функции Bash из среды.

На следующий день Red Hat официально представила соответствующие обновления для Red Hat Enterprise Linux . [45] [46] спустя еще один день для Fedora 21 . [47] Компания Canonical Ltd. представила обновления для своих версий Ubuntu с долгосрочной поддержкой в ​​субботу, 27 сентября; [48] в воскресенье вышли обновления для SUSE Linux Enterprise . [49] В следующие понедельник и вторник в конце месяца Mac OS X. появились обновления [50] [51]

1 октября 2014 года Михал Залевски из Google Inc. наконец заявил, что код Веймера и bash43-027 исправили не только первые три ошибки, но даже оставшиеся три, которые были опубликованы после bash43-027, включая два его собственных открытия. [31] Это означает, что после предыдущих обновлений дистрибутива не требовалось никаких других обновлений для устранения всех шести проблем. [46]

Все они также включены в IBM Hardware Management Console . [27]

Ссылки

[ редактировать ]
  1. ^ Jump up to: а б с д и Перлрот, Николь (25 сентября 2014 г.). «Эксперты по безопасности ожидают, что программная ошибка Shellshock в Bash будет серьезной» . Нью-Йорк Таймс . Проверено 25 сентября 2014 г.
  2. ↑ Хотя в некоторых источниках Shellshock описывается как «вирус», на самом деле он является конструктивным недостатком программы, поставляемой с некоторыми операционными системами. См. => Персонал (25 сентября 2014 г.). «На что влияет баг «Shellshock»?» . Безопасный Мак . Архивировано из оригинала 29 сентября 2014 года . Проверено 27 сентября 2014 г.
  3. ^ Jump up to: а б Зельцер, Ларри (29 сентября 2014 г.). «Shellshock делает Heartbleed незначительным» . ЗДНет . Проверено 29 сентября 2014 г.
  4. ^ Jump up to: а б Флориан Веймер (24 сентября 2014 г.). «Re: CVE-2014-6271: удаленное выполнение кода через bash» . oss-sec (список рассылки) . Проверено 1 ноября 2014 г.
  5. ^ Jump up to: а б с Флориан Веймер (24 сентября 2014 г.). «Re: CVE-2014-6271: удаленное выполнение кода через bash» . oss-sec (список рассылки) . Проверено 1 ноября 2014 г.
  6. ^ Jump up to: а б Лейден, Джон (24 сентября 2014 г.). «Обновите Bash СЕЙЧАС: ошибка «Shell Shock» делает широко открытыми системы OS X и Linux» . Регистр . Проверено 25 сентября 2014 г.
  7. ^ Jump up to: а б с д Сааринен, Юха (29 сентября 2014 г.). «Дальнейшие недостатки делают патч Shellshock неэффективным» . АйТньюс . Проверено 29 сентября 2014 г.
  8. ^ Jump up to: а б с д Воган-Николс, Стивен (27 сентября 2014 г.). «Shellshock: теперь доступны лучшие патчи «bash»» . ЗДНет . Проверено 29 сентября 2014 г.
  9. ^ Jump up to: а б с Гринберг, Энди (25 сентября 2014 г.). «Хакеры уже используют ошибку Shellshock для проведения атак на ботнеты» . Проводной . Проверено 28 сентября 2014 г.
  10. ^ Jump up to: а б с Сааринен, Юха (26 сентября 2014 г.). «Первый ботнет Shellshock атаковал Akamai, сети Министерства обороны США» . АйТньюс . Проверено 26 сентября 2014 г.
  11. ^ Jump up to: а б Перлрот, Николь (26 сентября 2014 г.). «Компании спешат исправить ошибку в программном обеспечении Shellshock, поскольку хакеры совершают тысячи атак» . Нью-Йорк Таймс . Проверено 29 сентября 2014 г.
  12. ^ Jump up to: а б Стром, Крис; Робертсон, Джордан (30 сентября 2014 г.). «Shellshock вызывает хакерские атаки и вызывает гонку за исправлением ошибок» . Деловая неделя. Архивировано из оригинала 1 октября 2014 года . Проверено 1 октября 2014 г.
  13. ^ Jump up to: а б Серрудо, Сезар (30 сентября 2014 г.). «Почему ошибка Shellshock хуже, чем Heartbleed» . Обзор технологий Массачусетского технологического института . Проверено 1 октября 2014 г.
  14. ^ Фокс, Брайан (21 марта 1990 г.). «Журнал изменений Bash 1.05» . Архивировано из оригинала 6 декабря 2023 года . Проверено 14 октября 2014 г.
  15. ^ Шазелас, Стефан (10 октября 2014 г.). "когда был введен контузионный шок" . Стефан Шазелас и Чет Рэми подтверждают дату появления уязвимости на официальном канале связи Bash . Архивировано из оригинала 20 декабря 2016 года . Проверено 14 октября 2014 г.
  16. ^ Шазелас, Стефан (25 сентября 2014 г.). «Когда появилась ошибка Shellshock (CVE-2014-6271/7169) и какой патч полностью ее исправляет?» .
  17. ^ «Справочное руководство Bash: Функции оболочки» . Проверено 2 октября 2014 г.
  18. ^ «Исходный код Bash 4.3, файлvariable.c, строки 315–388» . Проверено 2 октября 2014 г.
  19. ^ Разное (26 сентября 2014 г.). «Веб-атаки основаны на ошибке Shellshock» . Би-би-си . Проверено 26 сентября 2014 г.
  20. ^ Борен, Закари (6 октября 2014 г.). «Shellshock: румынские хакеры получили доступ к серверам Yahoo, утверждает эксперт по безопасности» . Независимый . Проверено 7 октября 2014 г.
  21. ^ «Йаху! Контужен, как черепашки ниндзя!» . Архивировано из оригинала 9 октября 2014 года . Проверено 7 октября 2014 г.
  22. ^ Ханно Бек (7 октября 2014 г.). «Yahoo атакован Shellshock» . Golem — IT-новости для профессионалов (на немецком языке) . Проверено 30 октября 2014 г.
  23. ^ «Документация Apache HTTP Server 2.2: советы по безопасности» . Проверено 2 октября 2014 г.
  24. ^ Jump up to: а б с Вольфганг Кандек (24 сентября 2014 г.). «Законы уязвимостей» . Qualys.com. Архивировано из оригинала 3 мая 2016 года . Проверено 26 сентября 2014 г.
  25. ^ Кайл Джордж (27 сентября 2014 г.). «qmail — это вектор CVE-2014-6271 (bash Shellshock)» . qmail (список рассылки).
  26. ^ «IBM HMC — это вектор CVE-2014-6271 (bash «shellshock»)» . ИБМ . Архивировано из оригинала 19 января 2020 года.
  27. ^ Jump up to: а б «Бюллетень по безопасности: Уязвимости в Bash затрагивают DS8000 HMC (CVE-2014-6271, CVE-2014-7169, CVE-2014-7186, CVE-2014-7187, CVE-2014-6277, CVE-2014-6278)» . ИБМ. 3 октября 2014 года . Проверено 2 ноября 2014 г.
  28. ^ «Шеллшок» . 13 февраля 2015 года . Проверено 17 сентября 2016 г.
  29. ^ Галлахер, Шон (26 сентября 2014 г.). «Еще больше уязвимостей в bash? Shellshock становится просто ужасным» . Арстехника . Проверено 26 сентября 2014 г.
  30. ^ Jump up to: а б Персонал (28 сентября 2014 г.). «Shellshock, Часть 3: Еще три проблемы безопасности в Bash (на немецком языке)» . Хейзе онлайн . Проверено 28 сентября 2014 г.
  31. ^ Jump up to: а б с «Ошибка Bash: два других RCE, или как мы урезали оригинальное исправление (CVE-2014-6277 и '78)» . блог lcamtuf . 1 октября 2014 года . Проверено 8 октября 2014 г.
  32. ^ «Сводка уязвимостей CVE-2014-6271» . НИСТ. 4 октября 2014 года . Проверено 8 октября 2014 г.
  33. ^ «Атака с внедрением кода с помощью специально созданных переменных среды Bash» . Красная шляпа безопасности . Проверено 2 октября 2014 г.
  34. ^ Персонал (27 сентября 2014 г.). «Сводка уязвимостей Национальной системы киберинформации для CVE-2014-6277» . Национальный институт стандартов и технологий . Проверено 28 сентября 2014 г.
  35. ^ Jump up to: а б Констатин, Люциан (29 сентября 2014 г.). «Улучшенный патч устраняет новые векторы атак ошибок Shellshock Bash» . Мир ПК . Проверено 1 октября 2014 г.
  36. ^ Персонал (30 сентября 2014 г.). «Сводка уязвимостей Национальной системы киберинформации для CVE-2014-6278» . Национальный институт стандартов и технологий . Проверено 1 октября 2014 г.
  37. ^ Персонал (29 сентября 2014 г.). «Сводка уязвимостей Национальной системы киберинформации для CVE-2014-7186» . Национальный институт стандартов и технологий . Проверено 1 октября 2014 г.
  38. ^ Персонал (29 сентября 2014 г.). «Сводка уязвимостей Национальной системы киберинформации для CVE-2014-7187» . Национальный институт стандартов и технологий . Проверено 1 октября 2014 г.
  39. ^ Рэми, Чет. «Re: CVE-2014-7187» . lists.gnu.org .
  40. ^ «ОТЧЕТ О ИСПРАВЛЕНИИ BASH» . GNU.org . 12 сентября 2014 года . Проверено 2 ноября 2014 г.
  41. ^ «ОТЧЕТ О ИСПРАВЛЕНИИ BASH» . GNU.org . 25 сентября 2014 года . Проверено 2 ноября 2014 г.
  42. ^ Веймер, Флориан (25 сентября 2014 г.). «Re: CVE-2014-6271: удаленное выполнение кода через bash» . Проект Openwall . Проверено 2 ноября 2014 г.
  43. ^ «ОТЧЕТ О ИСПРАВЛЕНИИ BASH» . GNU.org . 25 сентября 2014 года . Проверено 2 ноября 2014 г.
  44. ^ Галлахер, Шон (26 сентября 2014 г.). «Вышел новый патч «Shellshock», чтобы устранить пробелы в первом исправлении [Обновлено]» . Проверено 2 ноября 2014 г.
  45. ^ «Важно: обновление безопасности bash» . Красная шляпа. 30 сентября 2014 года . Проверено 2 ноября 2014 г.
  46. ^ Jump up to: а б «Уязвимость внедрения кода Bash через специально созданные переменные среды (CVE-2014-6271, CVE-2014-7169)» . Красная шляпа. 2 октября 2014 года . Проверено 2 ноября 2014 г.
  47. ^ «[БЕЗОПАСНОСТЬ] Обновление Fedora 21: bash-4.3.25-2.fc21» . FedoraProject.org . 27 сентября 2014 года . Проверено 2 ноября 2014 г.
  48. ^ «USN-2364-1: Уязвимости Bash» . Canonical Ltd. 27 сентября 2014 г. Проверено 2 ноября 2014 г.
  49. ^ «Обновление безопасности SUSE: обновление безопасности для bash» . OpenSUSE . 28 сентября 2014 года . Проверено 2 ноября 2014 г.
  50. ^ Клевер, Джули (29 сентября 2014 г.). «Apple выпускает обновление OS X Bash, исправляющее ошибку безопасности Shellshock в Mavericks, Mountain Lion и Lion» . MacRumors.com . Проверено 2 октября 2014 г.
  51. ^ Сливка, Эрик (30 сентября 2014 г.). «Apple выпускает OS X Yosemite Golden Master Candidate для разработчиков [обновление: также публичная бета-версия]» . MacRumors.com . Проверено 2 октября 2014 г.
[ редактировать ]
Викискладе есть медиафайлы, связанные с Shellshock (ошибка программного обеспечения) .
Retrieved from "https://en.wikipedia.org/w/index.php?title=Shellshock_(software_bug)&oldid=1232794276"
Arc.Ask3.Ru: конец переведенного документа.
Arc.Ask3.Ru
Номер скриншота №: 1e24ca44a6c5951978adf0eab046e79a__1720186980
URL1:https://arc.ask3.ru/arc/aa/1e/9a/1e24ca44a6c5951978adf0eab046e79a.html
Заголовок, (Title) документа по адресу, URL1:
Shellshock (software bug) - Wikipedia
Данный printscreen веб страницы (снимок веб страницы, скриншот веб страницы), визуально-программная копия документа расположенного по адресу URL1 и сохраненная в файл, имеет: квалифицированную, усовершенствованную (подтверждены: метки времени, валидность сертификата), открепленную ЭЦП (приложена к данному файлу), что может быть использовано для подтверждения содержания и факта существования документа в этот момент времени. Права на данный скриншот принадлежат администрации Ask3.ru, использование в качестве доказательства только с письменного разрешения правообладателя скриншота. Администрация Ask3.ru не несет ответственности за информацию размещенную на данном скриншоте. Права на прочие зарегистрированные элементы любого права, изображенные на снимках принадлежат их владельцам. Качество перевода предоставляется как есть. Любые претензии, иски не могут быть предъявлены. Если вы не согласны с любым пунктом перечисленным выше, вы не можете использовать данный сайт и информация размещенную на нем (сайте/странице), немедленно покиньте данный сайт. В случае нарушения любого пункта перечисленного выше, штраф 55! (Пятьдесят пять факториал, Денежную единицу (имеющую самостоятельную стоимость) можете выбрать самостоятельно, выплаичвается товарами в течение 7 дней с момента нарушения.)