ShellShockの衝撃 -- バグの舞台裏

原文(投稿日：2014/09/29)へのリンク 現在悪名高い、例のbashのバグCVE-2014-6271 は、後に「ShellShock」として知られるようになった。このバグはコードのリモート実行を許可してしまうもので、直接的または間接的にbashスクリプトを実行しているサーバに対し、巧妙に作成されたデータをネットワーク越しに送信することで起こる。最初のバグは修正されたが、後続の、解析ルーチンに関するゼロデイの懸念は2つ目の脆弱性CVE-2014-7169をもたらした。こちらの脆弱性は公開されてから週末にかけて修正された。しかし、この脆弱性はなぜ起こったのだろうか。また、この手のバグはこれが最後となるのだろうか。FreeBSDやNetBSDは、関数を自動的にインポートする機能をデフォルトで無効にした。将来の脆弱性を防ぐためだ。 問題が発生する理由は、Bashシェルにとある機能（ バグでは

[y-kawaz]

この機能を使うことなんてないからデフォルトオフにして良いと思う。活用事例ってあるの？

[midnightseminar]

分かりやすい。

[mongrelP]

“Appleを除く”…

[tmatsuu]

詳しい

[honma200]

まとめとしてわかりやすい

[JULY]

Shellshock 問題に関する、非常に分かりやすい解説。

[invent]

ShellShockの衝撃 -- バグの舞台裏 via @instapaper