CVE-2014-6278highbajo ataqueCWE-78

CVE-2014-6278

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear GNU Bash+ Monitorear bash

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 8.8epss 100%
de la publicación al armael mismo día
Publicada en NVD30 sept
1ª PoC29 sept
metasploit24 sept
CISA KEV+4020d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
No afectado
4 productos (8 componentes) — porque el código vulnerable no está presente en el producto
Red Hat Enterprise Linux 6 · Red Hat Enterprise Linux 7 · Red Hat Enterprise Linux 4 · Red Hat Enterprise Linux 5
Acción exigida por CISAplazo federal: 2025-10-23

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Bash tiene una vulnerabilidad crítica donde atacantes pueden ejecutar comandos arbitrarios manipulando variables de entorno con definiciones falsas de funciones. Esto es especialmente peligroso en sistemas como SSH y servidores web que pasan datos al Bash.

Detalle técnico

CVE-2014-6278 es una vulnerabilidad de inyección de comandos en GNU Bash versión 4.3 y anteriores donde el análisis incorrecto de definiciones de funciones en variables de entorno permite ejecución remota de código cuando Bash procesa datos controlados por atacantes. Los vectores incluyen OpenSSH ForceCommand, módulos Apache mod_cgi/mod_cgid y clientes DHCP.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

GNU Bash through 4.3 bash43-026 does not properly parse function definitions in the values of environment variables, which allows remote attackers to execute arbitrary commands via a crafted environment, as demonstrated by vectors involving the ForceCommand feature in OpenSSH sshd, the mod_cgi and mod_cgid modules in the Apache HTTP Server, scripts executed by unspecified DHCP clients, and other situations in which setting the environment occurs across a privilege boundary from Bash execution. NOTE: this vulnerability exists because of an incomplete fix for CVE-2014-6271, CVE-2014-7169, and CVE-2014-6277.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.