GNU Bash の環境変数解析で任意コマンド実行（悪用確認済み）

High（CVSS 8.8）に分類されるGNU GNU Bashの脆弱性です。GNU Bash が環境変数の値に書かれた関数定義を正しく解析せず、細工した環境変数を渡せる攻撃者が任意のコマンドを実行できる。いわゆる Shellshock の一連の問題のうち、CVE-2014-6271、CVE-2014-7169、CVE-2014-6277 の修正が不完全だったために残った変種である。NVD は発火経路として、OpenSSH sshd の ForceCommand、Apache HTTP Server の mod_cgi と mod_cgid、一部の DHCP クライアントが実行するスクリプト、その他「権限境界をまたいで環境変数が設定される場面」を挙げる。影響範囲は bash43-026 までの Bash 4.3 以前。CVSS は評価元で割れており、NVD（Primary、nvd@nist.gov）が付けているのは CVSS v2 の 10.0（AV:N/AC:L/Au:N/C:C/I:C/A:C）だけで、CVSS 3.x は Secondary（CVE プログラムの ADP）による 8.8 High（AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H）のみである。CISA KEV への収載は公開から 11 年後の 2025-10-02、是正期限は 2025-10-23、ランサムウェア利用は Unknown（不明）。KEV の notes は GNU の bash43-027 パッチのほか Broadcom、Cisco、IBM AIX Toolbox のアドバイザリを挙げる。vulnStatus は Analyzed。

現行のディストリを普通に更新している環境では 2014 年当時に修正が入っているので、この CVE の実務は「古い箱と古いイメージが残っていないか」の棚卸しになる。判定は bash --version で 4.3 以前かを見て、疑わしければ実際に env 経由の関数定義が解釈されるかを手元で試すのが確実である。パッチ適用状況は版番号では読み取れないため、ディストリの CVE 追跡ページで修正済みのビルドかを確認する。見落としやすいのは、稼働中の VM ではなく、長く更新されていないコンテナのベースイメージ、レジストリに残った古いタグ、ネットワーク機器やストレージアプライアンスの中の Linux である。KEV の notes が Cisco や IBM AIX Toolbox、Broadcom のアドバイザリを挙げているのは、この種の製品内蔵 bash が残存箇所になりやすいからで、自社のアプライアンスは各ベンダーのアドバイザリを個別に確認する。緩和は、権限境界をまたいで環境変数が渡る経路を潰す方向が有効で、mod_cgi / mod_cgid で bash スクリプトを CGI として実行している箇所をやめる、sshd の ForceCommand が bash を経由しないようにする、DHCP クライアントのフックスクリプトを見直す、という順に効く。ただし本体の更新が本筋である。KEV 収載済み、つまり実際に悪用が確認されているものなので、更新だけで終わらせない。該当ホストについては CGI のアクセスログに不審なリクエスト（環境変数に関数定義らしき文字列を含むもの）が無いか、想定外のプロセスやクーロン、外向き通信の痕跡が無いかを確認し、置いていた資格情報や鍵は再発行しておく。是正期限は 2025-10-23 で今日（2026-08-17）より前なので、未対応の資産が残っているなら期限超過として扱い、優先して処理する。完了条件は、（1）該当する bash を持つ資産がゼロになっていること、（2）侵害の痕跡確認と資格情報の再発行が済んでいること、の 2 点である。

GNU GNU Bash を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2014-6278）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/10/23 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。