ShellShockがCGIに及ぼす影響を少し過大評価していたかも - Qiita

bashの脆弱性（CVE-2014-6271など）によって、PerlやRubyのCGIからsystem関数などOSコマンドを実行するプログラム言語の機能を使うと、 UserAgent などブラウザから送信されたデータが環境変数に格納された状態でbashが起動し、ShellShockが発生するという話が話題になっているが、本当にそうなのか。 実験 次の処理系で実験した。 Perl（5.20.0） Ruby（2.1.3） PHP（5.6.0） Python3（3.4.1） コード OSコマンドのenvを呼び出して表示するだけのCGI。 Perl #!/usr/bin/env perl print "Content-Type: text/html;\n\n"; print system('env');

[t-tanaka]

RubyはPhusion Passengerをつかってるとやばいらしいですよ。

[mattn]

PHP あたらしい

[sue445]

PHPさん(´；ω；｀)

[n2s]

PerlやRubyでは「空白で区切っててメタ文字も含む一つの文字列」を渡したときだけシェルが実行される。パラメータを分割して渡しているorメタ文字を含まない場合は実行されない。

[ockeghem]

これ重要>『PerlとRubyはコマンドの中にシェルのメタ文字がない場合は、シェルを介さずにシステムコールを使ってコマンドを実行する』

[quabbin]

ああ、軽く検証してPerlで再現しなかったから首かしげていたら…そういうことか

[mongrelP]

なおRubyはPassengerで死ぬ

[kits]

「PerlとRubyはコマンドの中にシェルのメタ文字がない場合は、シェルを介さずにシステムコールを使ってコマンドを実行する」/ print は冗長であるように思う。

[iww]

『コマンドの中にシェルのメタ文字がない場合は、シェルを介さずにシステムコールを使ってコマンドを実行する』 メタ文字は結構頻繁に使うのでやっぱりアウトっぽい