Bash の脆弱性について

CVE-2014-6271 の件について、何かわかってない記事が散見されるので簡単にまとめ。 問題点 環境変数が特殊な文字列の場合、Bash はそれを関数定義とみなす（この仕様がそもそもどうなのよ、と思う人は/bin/shをbashにするのはもうやめましょう）。そのロジックに誤りがあり、関数定義でない部分も読み込み、その部分が実行されてしまう。 影響範囲 /bin/sh が bash でないシステムの場合 明示的に bash スクリプトとして起動されたスクリプトだけが影響を受ける。ただし SSH サーバーの場合、ユーザープログラムを実行する場合にユーザーのシェルを使用するので、そこで影響を受けることがある。 /bin/sh が bash であるシステムの場合 system(3) や popen(3) が内部で /bin/sh を利用しているので、影響は広範に渡る。 CGI 特に話題になって

[pipehead]

CVE-2014-6271