Shellshockは、bashシェルにおける一連のLinuxセキュリティ問題の総称です。 Bashは多くのLinuxディストリビューションのデフォルトの端末であり、バグの影響が特に広範囲に及んでいたことを意味します。
注：WindowsはBashシェルを使用しないため、この脆弱性はWindowsシステムに影響を与えませんでした。
2014年9月、セキュリティ研究者のStéphaneChazelasが、Bashで最初の問題を発見し、Bashを管理している人に個人的に報告しました。 彼はBashの保守を担当する開発者と協力し、問題を解決するパッチが開発されました。 パッチがリリースされてダウンロードできるようになると、バグの性質が9月末近くに公開されました。
バグの発表から数時間以内に、それは野生でそして1日以内に悪用されていました DDOS攻撃と脆弱性を実行するために使用されているエクスプロイトに基づくボットネットがすでに存在していました スキャンします。 パッチはすでに利用可能でしたが、悪用の急増を回避するのに十分な速さでパッチを展開することはできませんでした。
次の数日間で、さらに5つの関連する脆弱性が特定されました。 再びパッチは急速に開発されリリースされましたが、積極的な悪用にもかかわらず、アップデートはまだありませんでした 必然的にすぐに適用されるか、すべての場合にすぐに利用可能でさえあり、より危険にさらされます マシン。
脆弱性は、CGIベースのWebサーバーシステムコールが誤って処理されるなど、さまざまな原因によるものです。 OpenSSHサーバーは、制限されたシェルから制限されていないシェルへの特権の昇格を許可しました。 悪意のあるDHCPサーバーは、脆弱なDHCPクライアントでコードを実行できました。 メッセージを処理するとき、Qmailは悪用を許可しました。 IBM HMC制限付きシェルを悪用して、完全なbashシェルにアクセスすることができます。
バグの広範な性質、脆弱性の重大性、および悪用の急増により、Shellshockは「Heartbleed」と比較されることがよくあります。 Heartbleedは、OpenSSLの脆弱性であり、ユーザーの操作なしにメモリの内容をリークしていました。