Muokataan sivua Shellshock

'''Shellshock''' tai '''Bashdoor''' (CVE-2014-6271 ja CVE-2014-7169) on haavoittuvuus [[bash]]-komentotulkissa. Bugi on ollut olemassa bashin versiosta 1.13 lähtien eli jo vuodesta 1992.

==Testaus==
{{Oikeudet}}

===CVE-2014-6271===
Mikäli sana "haavoittuva" tulostuu, on bash haavoittuva.
<pre>
$ env x='() { :;}; echo haavoittuva' bash -c "echo testi"
</pre>

===CVE-2014-7169===
Mikäli päiväys tulostuu, on bash haavoittuva.
<pre>
$ env X='() { (linux.fi)=>\' bash -c "echo date"; cat echo ; rm -f echo
</pre>

===CVE-???===
Mikäli sana "haavoittuva" tulostuu, on bash haavoittuva.
<pre>
$ env -i X=' () { }; echo haavoittuva' bash -c 'date'
</pre>

===CVE-2014-7186===
Mikäli sana "haavoittuva" tulostuu, on bash haavoittuva.
<pre>
bash -c 'true <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF' ||
echo "CVE-2014-7186 haavoittuva, redir_stack"
</pre>

===CVE-2014-7187===
Mikäli sana "haavoittuva" tulostuu, on bash haavoittuva.
<pre>
$ (for x in {1..200} ; do echo "for x$x in ; do :"; done; for x in {1..200} ; do echo done ; done) | bash ||
echo "CVE-2014-7187 haavoittuva, word_lineno"
</pre>

==Aiheesta muualla==
* [https://www.viestintavirasto.fi/tietoturva/haavoittuvuudet/2014/haavoittuvuus-2014-106.html viestintavirasto.fi - Haavoittuvuus Bash-komentotulkissa]
* [https://www.viestintavirasto.fi/tietoturva/tietoturvanyt/2014/09/ttn201409251726.html viestintavirasto.fi -Shellshock-haavoittuvuutta hyödynnetään aktiivisesti]
* [https://www.fsf.org/news/free-software-foundation-statement-on-the-gnu-bash-shellshock-vulnerability FSF.org - Free Software Foundation statement on the GNU Bash "shellshock" vulnerability]
* [https://shellshocker.net/ shellshocker.net]

[[Luokka:Tietoturva]]