Shellshock je súhrnný názov pre sériu bezpečnostných problémov Linuxu v bash shell. Bash je predvolený terminál v mnohých distribúciách Linuxu, čo znamená, že účinky chýb boli obzvlášť rozšírené.
Poznámka: Táto chyba zabezpečenia neovplyvnila systémy Windows, pretože systém Windows nepoužíva prostredie Bash.
V septembri 2014 Stéphane Chazelas, bezpečnostný výskumník, objavil prvý problém v Bash a súkromne to oznámil osobe, ktorá Bash udržiava. Spolupracoval s vývojárom zodpovedným za údržbu Bash a bola vyvinutá oprava, ktorá problém vyriešila. Akonáhle bol patch vydaný a dostupný na stiahnutie, povaha chyby bola zverejnená koncom septembra.
Počas niekoľkých hodín od ohlásenia chyby bola táto chyba využívaná vo voľnej prírode a do jedného dňa už existovali botnety založené na exploite používanom na vykonávanie DDOS útokov a zraniteľnosti skenuje. Aj keď oprava už bola k dispozícii, ľudia ju nedokázali nasadiť dostatočne rýchlo, aby sa vyhli návalu využívania.
Počas niekoľkých nasledujúcich dní bolo identifikovaných päť ďalších súvisiacich zraniteľností. Opravy boli opäť rýchlo vyvinuté a vydané, ale napriek aktívnemu využívaniu aktualizácie stále neboli nutne aplikované okamžite alebo dokonca okamžite dostupné vo všetkých prípadoch, čo vedie k ešte väčšiemu ohrozeniu stroje.
Zraniteľnosť pochádzala z rôznych vektorov, vrátane systémových volaní webového servera založeného na CGI, ktoré boli nesprávne spracované. OpenSSH server povolil zvýšenie oprávnenia z obmedzeného shellu na neobmedzený shell. Škodlivé servery DHCP dokázali spustiť kód na zraniteľných klientoch DHCP. Pri spracovaní správ umožnil Qmail zneužitie. Obmedzený shell IBM HMC by sa dal zneužiť na získanie prístupu k úplnému bash shellu.
Kvôli rozšírenej povahe chyby, ako aj závažnosti zraniteľností a návalu zneužívania sa Shellshock často prirovnáva k „Heartbleed“. Heartbleed bola zraniteľnosť v OpenSSL, ktorá unikla obsahu pamäte bez akejkoľvek interakcie používateľa.