压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

　　NVD(National Vulnerability Database)是美國政府基于漏洞管理數據的標準知識庫，這些數據支持自動化漏洞管理和安全測試，并遵循美國聯邦信息安全管理法案(FISMA)。最近美國國家網絡感知系統發布了一項針對“CVE-2014-6271 bash遠程命令執行漏洞(ShellShock破殼)”的概要，“破殼”漏洞遠勝“心臟出血”，看來實至名歸。

　　Freebuf在這里與大家分享更多shellshock信息，希望大家對ShellShock的影響和原理有更多的了解。閑話不多說，請看下文。

　　針對CVE-2014-6271 bash遠程命令執行漏洞(ShellShock破殼)概要

　　GNU Bash 4.3及之前版本通過在定義環境變量的值后追加特定字符串可以允許攻擊者遠程執行任意命令，利用的形式有：

　　OpenSSL和SSHD配置中使用了ForceCommand用以限制遠程用戶執行命令；Apache HTTP服務器mod_cgi或者mod_cgid利用；DHCP客戶端腳本調用shell執行；其他任何形式的授權調用bash做邊界執行的情況等。

　　特別提到，此問題的原修復是不正確的，修復后漏洞依然存在，因為存在時間長久，影響深遠，“破殼”漏洞從此聲名遠揚！

　　ShellShock的影響力

　　CVSS 嚴重級別(2.0版)：

　　CVSS V2基本分數： 10.0 (高) (AV：N/AC：L/Au：N/C：C/I：C/A：C)

　　(小編注："心臟出血"漏洞評5.0)

　　影響力分數： 10.0

　　可利用分數： 10.0CVSS 2.0版本指標：

　　利用途徑：可網絡利用

　　利用復雜性： 低

　　驗證：不需要利用

　　影響類型：未經授權的信息披露； 允許未經授權的修改； 使服務中斷等參考資源&解決方案&其他工具

　　美國漏洞管理庫分享的資料十分足，下面給出了許多外部資源，選擇這些鏈接，你將離開freebuf到這些其他網站——因為他們可能有更多資料信息，想必是那些運(hei)維(ke)的興趣。其他網站內容不代表NIST的立場，還有，這不是NIST在打廣告哦，freebuf也沒有啊，建議查看有質量的評論，如有什么評論可直接推送到NIST郵箱nvd@nist.gov。freebuf也想說有什么見(tu)解(cao)，請直接在下面占座！

　　外部來源： SUSE名稱： openSUSE-SU-2014：1238超鏈接： http：//lists.opensuse.org/opensuse-security-announce/2014-09/msg00040.html外部來源： SECUNIA名稱： 61700超鏈接： http：//secunia.com/advisories/61700 外部來源： CONFIRM名稱： 見鏈接超鏈接： http：//www.novell.com/support/kb/doc.php？id=7015701外部來源： CONFIRM名稱： 見鏈接超鏈接： https：//kb.bluecoat.com/index？page=content&id=SA82外部來源： SECUNIA名稱： 61565超鏈接： http：//secunia.com/advisories/61565外部來源： MISC名稱： 見鏈接超鏈接： http：//packetstormsecurity.com/files/128567/CA-Technologies-GNU-Bash-Shellshock.html外部來源： SECUNIA名稱： 61715超鏈接： http：//secunia.com/advisories/61715 外部來源： BUGTRAQ名稱： 20141001新vmsa – 2014 – 0010 – VMware關鍵Bash漏洞更新地址超鏈接： http：//www.securityfocus.com/archive/1/archive/1/533593/100/0/threaded外部來源： SECUNIA名稱： 61552年超鏈接： http：//secunia.com/advisories/61552 外部來源： CONFIRM名稱：見鏈接超鏈接： https：//securityblog.redhat.com/2014/09/24/bash-specially-crafted-environment-variables-code-injection-attack/外部來源： SECUNIA名稱： 61676超鏈接： http：//secunia.com/advisories/61676外部來源： SECUNIA名稱： 61654超鏈接： http：//secunia.com/advisories/61654us – cert漏洞筆記： CERT名稱： ta14 – 268 a超鏈接： http：//www.us-cert.gov/ncas/alerts/TA14-268A 外部來源： SECUNIA名稱： 61283超鏈接： http：//secunia.com/advisories/61283外部來源： 紅帽名稱： RHSA-2014：1293超鏈接： http：//rhn.redhat.com/errata/RHSA-2014-1293.html外部來源： SUSE名稱： SUSE-SU-2014：1223超鏈接： http：//lists.opensuse.org/opensuse-security-announce/2014-09/msg00034.html 外部來源： CONFIRM名稱：見鏈接超鏈接： http：//www-01.ibm.com/support/docview.wss？uid=swg21685914 外部來源： CONFIRM名稱： 見鏈接超鏈接： http：//www-01.ibm.com/support/docview.wss？uid=isg3T1021272 外部來源： 惠普名稱： HPSBGN03117超鏈接： http：//marc.info/？l=bugtraq&m=141216207813411&w=2 外部來源： UBUNTU名稱： USN-2362-1超鏈接： http：//www.ubuntu.com/usn/USN-2362-1 外部來源： SECUNIA名稱： 61711超鏈接： http：//secunia.com/advisories/61711 外部來源： CONFIRM名稱： 見鏈接超鏈接： http：//www.vmware.com/security/advisories/VMSA-2014-0010.html 外部來源： CONFIRM名稱： 見鏈接超鏈接：http：//www-01.ibm.com/support/docview.wss？uid=swg21685749 外部來源：CONFIRM名稱： 見鏈接類型： 補丁信息超鏈接： https：//bugzilla.redhat.com/show_bug.cgi？id=1141597 外部來源： CONFIRM名稱： 見鏈接超鏈接： http：//www.novell.com/support/kb/doc.php？id=7015721 外部來源： SECUNIA名稱： 59737超鏈接： http：//secunia.com/advisories/59737 外部來源： MISC名稱： 見鏈接超鏈接： http：//packetstormsecurity.com/files/128517/VMware-Security-Advisory-2014-0010.html 外部來源： SUSE名稱： SUSE-SU-2014：1260超鏈接： http：//lists.opensuse.org/opensuse-security-announce/2014-09/msg00049.html 外部來源： 惠普名稱： HPSBST03122超鏈接： http：//marc.info/？l=bugtraq&m=141319209015420&w=2 外部來源： 紅帽名稱： RHSA-2014：1295超鏈接： http：//rhn.redhat.com/errata/RHSA-2014-1295.html 外部來源： 惠普名稱： HPSBHF03124超鏈接： http：//marc.info/？l=bugtraq&m=141235957116749&w=2 外部來源： CONFIRM名稱： 見鏈接超鏈接： http：//support.apple.com/kb/HT6495 外部來源： SECUNIA名稱： 61633超鏈接： http：//secunia.com/advisories/61633 外部來源： SECUNIA名稱： 61703超鏈接： http：//secunia.com/advisories/61703 外部來源： MISC名稱：見鏈接超鏈接： http：//lcamtuf.blogspot.com/2014/09/quick-notes-about-bash-bug-its-impact.html 外部來源： SECUNIA名稱： 59907超鏈接： http：//secunia.com/advisories/59907 外部來源： SUSE名稱： SUSE-SU-2014：1287超鏈接： http：//lists.opensuse.org/opensuse-security-announce/2014-10/msg00004.html外部來源： SECUNIA名稱： 61485超鏈接： http：//secunia.com/advisories/61485 外部來源： FULLDISC名稱： 20141001 FW： NEW VMSA – 2014 – 0010 – VMware關鍵Bash安全漏洞更新地址超鏈接： http：//seclists.org/fulldisclosure/2014/Oct/0 外部來源： 紅帽名稱： RHSA-2014：1294超鏈接： http：//rhn.redhat.com/errata/RHSA-2014-1294.html 外部來源： CONFIRM名稱： 見鏈接超鏈接： https：//www.suse.com/support/shellshock/ 外部來源： SECUNIA名稱： 61641年超鏈接： http：//secunia.com/advisories/61641 外部來源： 惠普名稱： HPSBHF03119超鏈接： http：//marc.info/？l=bugtraq&m=141216668515282&w=2 外部來源： CONFIRM名稱： 見鏈接超鏈接： http：//support.novell.com/security/cve/CVE-2014-6271.html 外部來源： CONFIRM名稱： 見鏈接超鏈接： https：//kb.juniper.net/InfoCenter/index？page=content&id=JSA10648 us – cert漏洞筆記： CERT-VN名稱： VU # 252743超鏈接： http：//www.kb.cert.org/vuls/id/252743 外部來源： SUSE名稱： openSUSE-SU-2014：1254超鏈接： http：//lists.opensuse.org/opensuse-security-announce/2014-09/msg00044.html 外部來源： SECUNIA名稱： 61603超鏈接： http：//secunia.com/advisories/61603 外部來源： SECUNIA名稱： 61503超鏈接： http：//secunia.com/advisories/61503 外部來源： 思科名稱： 20140926 GNU Bash環境變量命令注入漏洞超鏈接： http：//tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20140926-bash 外部來源： CONFIRM名稱： 見鏈接超鏈接： http：//www.oracle.com/technetwork/topics/security/bashcve-2014-7169-2317675.html外部來源： SECUNIA名稱： 61643超鏈接： http：//secunia.com/advisories/61643 外部來源： DEBIAN名稱： dsa – 3032超鏈接： http：//www.debian.org/security/2014/dsa-3032漏洞的軟件和版本

　　配置1

　　* CPE：/ A：GNU：bash中：1.14.0

　　* CPE：/ A：GNU：bash中：1.14.1

　　* CPE：/ A：GNU：bash中：1.14.2

　　* CPE：/ A：GNU：bash中：1.14.3

　　* CPE：/ A：GNU：bash中：1.14.4

　　* CPE：/ A：GNU：bash中：1.14.5

　　* CPE：/ A：GNU：bash中：1.14.6

　　* CPE：/ A：GNU：bash中：1.14.7

　　* CPE：/ A：GNU：bash中：2.0

　　* CPE：/ A：GNU：擊：2.01

　　* CPE：/ A：GNU：bash中：2.01.1

　　* CPE：/ A：GNU：擊：2.02

　　* CPE：/ A：GNU：bash中：2.02.1

　　* CPE：/ A：GNU：擊：2.03

　　* CPE：/ A：GNU：擊：2.04

　　* CPE：/ A：GNU：擊：2.05

　　* CPE：/ A：GNU：慶典：2.05：a

　　* CPE：/ A：GNU：慶典：2.05：乙

　　* CPE：/ A：GNU：bash中：3.0

　　* CPE：/ A：GNU：bash中：3.0.16

　　* CPE：/ A：GNU：bash中：3.1

　　* CPE：/ A：GNU：bash中：3.2

　　* CPE：/ A：GNU：bash中：3.2.48

　　* CPE：/ A：GNU：bash中：4.0

　　* CPE：/ A：GNU：bash中：4.0：RC1

　　* CPE：/ A：GNU：bash中：4.1

　　* CPE：/ A：GNU：bash中：4.2

　　* CPE：/ A：GNU：bash中：4.3

　　*表示易受攻擊的軟件

　　更多相關的漏洞與配置變化：http：//web.nvd.nist.gov/view/cpe/changes

　　全球范圍內已公開的漏洞利用細節：https：//github.com/mubix/shellshocker-pocs

　　CVE標準的漏洞條目 http：//cve.mitre.org/cgi-bin/cvename.cgi？name=CVE，2014-6271