Bashdoor
Bashdoor (также ) — серия программных уязвимостей, обнаруженных в программе GNU Bash в сентябре 2014 года и открыто опубликованных 24 сентября. Множество интернет-сервисов, в том числе веб-серверы, могут использовать Bash для обработки некоторых запросов, например при исполнении CGI-скриптов. Уязвимость позволяет атакующему исполнять произвольные команды, получив неправомерный доступ к компьютерным системам.

Уязвимости заключаются в том, что Bash вопреки задекларированным возможностям производит исполнение команд при получении некоторых нестандартных значений переменных окружения (). За несколько дней после публикации оригинальной уязвимости было обнаружено несколько сходных ошибок, что не позволило оперативно издать версию с исправлениями.

Изначальная ошибка была обнаружена Стефани Шазеля 12 сентября 2014 года, который предложил назвать её «bashdoor» (созвучно backdoor). Уязвимость получила в базе MITRE номер CVE-2014-6271 и оставалась неопубликованной (находилась под эмбарго) до 14 часов по UTC 24 сентября, ради того чтобы авторы программы, создатели дистрибутивов и иные заинтересованные организации успели принять необходимые меры.

Анализ исходного кода Bash свидетельствует, что уязвимость была заложена в код приблизительно в версии 1.13 в 1992 году или ранее и с тех пор оставалась необнаруженной среди общей публики и незадекларированной. Группа авторов Bash затрудняется в определении точного времени внедрения ошибки из-за недостаточно подробной истории изменений (changelog).

25 сентября 2014 года на базе уязвимости уже были созданы ботнеты для проведения DoS- и DDoS-атак, а также для сканирования уязвимостей. Предполагается, что уязвимы миллионы систем. Ошибка получила максимальную оценку по шкале опасности и сравнивается по значению с Heartbleed — ошибкой в OpenSSL (апрель 2014).
Q631425
уязвимостей
Concept
Q189248
GNU Bash
MEDIA
Q193424
интернет-сервисов
Concept
Q11288
веб-сервер
Concept
Q264364
CGI
MISC
Q4317610
неправомерный доступ
Concept
Q400857
переменных окружения
Concept
Q254569
backdoor
Concept
Q989265
эмбарго
Concept
Q4162386
дистрибутивов
Concept
Q255135
changelog
Concept
Q317671
ботнет
Concept
Q131406
DoS
Concept
Q131406
DDoS
Concept
Q283770
сканирования уязвимостей
Concept
Q16244272
Heartbleed
MISC
Q1052790
OpenSSL
MEDIA
Q18123513
Bashdoor
Concept
2014-09-12T00:00:00Z^^http://www.w3.org/2001/XMLSchema#dateTime
12 сентября 2014
DATE
2014-01-01T00:00:00Z^^http://www.w3.org/2001/XMLSchema#dateTime
2014
DATE
6271-01-01T00:00:00Z^^http://www.w3.org/2001/XMLSchema#dateTime
6271
DATE
1992-01-01T00:00:00Z^^http://www.w3.org/2001/XMLSchema#dateTime
в 1992
DATE
2014-09-25T00:00:00Z^^http://www.w3.org/2001/XMLSchema#dateTime
25 сентября 2014
DATE
2014-04-01T00:00:00Z^^http://www.w3.org/2001/XMLSchema#dateTime
апрель 2014
DATE
+24^^http://www.w3.org/2001/XMLSchema#decimal
24
NUMBER
-2014^^http://www.w3.org/2001/XMLSchema#decimal
-2014
NUMBER
-6271^^http://www.w3.org/2001/XMLSchema#decimal
-6271
NUMBER
+14^^http://www.w3.org/2001/XMLSchema#decimal
14
NUMBER
+24^^http://www.w3.org/2001/XMLSchema#decimal
24
NUMBER
+1.13^^http://www.w3.org/2001/XMLSchema#decimal
1.13
NUMBER
instance of
time of discovery or invention