製品・ソフトウェアに関する情報
Vulnerability Search
GNU bash の parse.y の read_token_word 関数におけるサービス運用妨害 (DoS) の脆弱性
Title GNU bash の parse.y の read_token_word 関数におけるサービス運用妨害 (DoS) の脆弱性
Summary

GNU bash の parse.y の read_token_word 関数には、一つずれエラー (Off-by-One error) により、サービス運用妨害 (配列の領域外へのアクセスおよびアプリケーションクラッシュ) 状態にされるなど、不特定の影響を受ける脆弱性が存在します。

Possible impacts 第三者により、深いネストの for ループを介して、サービス運用妨害 (配列の領域外へのアクセスおよびアプリケーションクラッシュ) 状態にされるなど、不特定の影響を受ける可能性があります。
Solution

ベンダ情報および参考情報を参照して適切な対策を実施してください。
Publication Date Sept. 26, 2014, midnight
Registration Date Sept. 30, 2014, 11:48 a.m.
Last Update Dec. 24, 2015, 6:23 p.m.
CVSS2.0 : 危険
Score 10
Vector AV:N/AC:L/Au:N/C:C/I:C/A:C
Affected System
GNU Project
bash 4.3 bash43-026 まで
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
No Changed Details Date of change
0 [2014年09月30日]
  掲載
[2014年10月01日]
  影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
  ベンダ情報：レッドハット (RHSA-2014:1306) を追加
  ベンダ情報：レッドハット (Resolution for Bash Code Injection Vulnerability via Specially Crafted Environment Variables (CVE-2014-6271, CVE-2014-7169) in Red Hat Enterprise Linux) を追加
  ベンダ情報：レッドハット (Bash specially-crafted environment variables code injection attack) を追加
  ベンダ情報：富士通 (GNU Bash に OS コマンドインジェクションの脆弱性) を追加
  参考情報：JVN (JVNVU#97219505) を追加
  参考情報：IPA 重要なセキュリティ情報 (bash の脆弱性対策について(CVE-2014-6271 等)) を追加
  参考情報：JPCERT 注意喚起 (JPCERT-AT-2014-0037) を追加
  参考情報：US-CERT Technical Cyber Security Alert (TA14-268A) を追加
[2014年10月06日]
  影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
  ベンダ情報：アライドテレシス (アライドテレシス株式会社からの情報) を追加
  ベンダ情報：ミラクル・リナックス (bash-3.2-33.AXS3.4) を追加
  ベンダ情報：ミラクル・リナックス (bash-4.1.2-15.AXS4.2) を追加
  ベンダ情報：ヤマハ (GNU Bash 「OS コマンドインジェクション」の脆弱性について) を追加
  ベンダ情報：日本電気 (AV14-003) を追加
  参考情報：関連文書 (株式会社アラタナ の告知ページ (GNU bash脆弱性への弊社対応状況について)) を追加
[2014年10月21日]
  ベンダ情報：オラクル (Multiple vulnerabilities in Bash) を追加
[2014年11月07日]
  影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
  ベンダ情報：F5 Networks (SOL15629) を追加
  ベンダ情報：IBM (T1021272) を追加
  ベンダ情報：IBM (1685749) を追加
  ベンダ情報：IBM (1685914) を追加
  ベンダ情報：IBM (1685541) を追加
  ベンダ情報：IBM (S1004915) を追加
  ベンダ情報：IBM (S1004879) を追加
  ベンダ情報：IBM (T1021279) を追加
  ベンダ情報：IBM (S1004897) を追加
  ベンダ情報：IBM (S1004898) を追加
  ベンダ情報：IBM (1686479) を追加
  ベンダ情報：IBM (1686084) を追加
  ベンダ情報：IBM (1685604) を追加
  ベンダ情報：IBM (1685733) を追加
  ベンダ情報：IBM (1686131) を追加
  ベンダ情報：IBM (MIGR-5096315) を追加
  ベンダ情報：Novell (OES11 SP2, OES11SP1, OES2 SP3 vulnerability with GNU Bash Remote Code Execution (aka ShellShock) and Mozilla NSS vulnerabilities) を追加
  ベンダ情報：Novell (ZENworks Configuration Management vulnerability with GNU Bash Remote Code Execution (aka ShellShock)) を追加
  ベンダ情報：VMware (VMSA-2014-0010) を追加
  ベンダ情報：オラクル (Bash "Shellshock" Vulnerabilities - CVE-2014-7169) を追加
  ベンダ情報：シスコシステムズ (cisco-sa-20140926-bash) を追加
  ベンダ情報：シトリックス・システムズ (CTX200217) を追加
  ベンダ情報：シトリックス・システムズ (CTX200223) を追加
  ベンダ情報：ジュニパーネットワークス (JSA10648) を追加
  ベンダ情報：ヒューレット・パッカード (HPSBHF03125 SSRT101724) を追加
  ベンダ情報：ヒューレット・パッカード (HPSBGN03138 SSRT101755) を追加
  ベンダ情報：レッドハット (Bug 1141597) を追加
  ベンダ情報：ブルーコートシステムズ (SA82) を追加
  ベンダ情報：バッファロー (GNU BashにおけるOSコマンドインジェクションの脆弱性) を追加
[2014年11月27日]
  影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
  ベンダ情報：ヒューレット・パッカード (HPSBMU03143 SSRT101761) を追加
  ベンダ情報：ヒューレット・パッカード (HPSBMU03144 SSRT101762) を追加
  ベンダ情報：ヒューレット・パッカード (HPSBST03131 SSRT101749) を追加
  ベンダ情報：ヒューレット・パッカード (HPSBST03129 SSRT101760) を追加
  ベンダ情報：ヒューレット・パッカード (HPSBGN03142 SSRT101764) を追加
  ベンダ情報：ヒューレット・パッカード (HPSBGN03141 SSRT101763) を追加
  ベンダ情報：ヒューレット・パッカード (HPSBST03157 SSRT101718) を追加
  ベンダ情報：IBM (1686447) を追加
  ベンダ情報：レッドハット (RHSA-2014:1354) を追加
  ベンダ情報：QNAP Systems (NAS-201410-05) を追加
  参考情報：JVN iPedia (JVNDB-2014-000126) を追加
  参考情報：JVN (JVN#55667175) を追加
[2014年12月02日]
  ベンダ情報：ヒューレット・パッカード (HPSBMU03182 SSRT101787) を追加
  ベンダ情報：ヒューレット・パッカード (HPSBST03154 SSRT101747) を追加
  ベンダ情報：ヒューレット・パッカード (HPSBST03181 SSRT101811) を追加
  ベンダ情報：ヒューレット・パッカード (HPSBST03155 SSRT101747) を追加
  ベンダ情報：ヒューレット・パッカード (HPSBMU03165 SSRT101783) を追加
[2014年12月09日]
  ベンダ情報：ヒューレット・パッカード (HPSBST03148 SSRT101749) を追加
[2015年01月07日]
  ベンダ情報：アイ・オー・データ機器 (GNU bash の脆弱性に関する弊社調査・対応状況について) を追加
[2015年02月02日]
  ベンダ情報：アップル (HT204244) を追加
  ベンダ情報：アップル (APPLE-SA-2015-01-27-4) を追加
  参考情報：JVN (JVNVU#96447236) を追加
[2015年03月27日]
  ベンダ情報：ターボリナックス (TLSA-2014-9) を追加
[2015年04月30日]
  ベンダ情報：IBM (1685433) を追加
  ベンダ情報：IBM (1685522) を追加
  ベンダ情報：IBM (1686493) を追加
  ベンダ情報：IBM (1685798) を追加
  ベンダ情報：IBM (1686299) を追加
  ベンダ情報：IBM (1686635) を追加
[2015年05月27日]
  ベンダ情報：ヒューレット・パッカード (HPSBMU03217 SSRT101827) を追加
  ベンダ情報：ヒューレット・パッカード (HPSBGN03233) を追加
  ベンダ情報：ヒューレット・パッカード (HPSBMU03236 SSRT101830) を追加
  ベンダ情報：ヒューレット・パッカード (HPSBMU03245 SSRT101742) を追加
  ベンダ情報：ヒューレット・パッカード (HPSBMU03246 SSRT101743) を追加
[2015年10月06日]
  ベンダ情報：アップル (HT205267) を追加
  ベンダ情報：アップル (APPLE-SA-2015-09-30-3 OS X El Capitan 10.11) を追加
  参考情報：JVN (JVNVU#97220341) を追加
[2015年12月24日]
  影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
  ベンダ情報：日立 (サーバ・クライアント製品 bashの脆弱性(CVE-2014-6271,CVE-2014-7169他)による影響について) を追加
  ベンダ情報：日立 (bashの脆弱性(CVE-2014-6271,CVE-2014-7169 他)によるHA8500への影響について) を追加		 Feb. 17, 2018, 10:37 a.m.
NVD Vulnerability Information
CVE-2014-7187
Summary

Off-by-one error in the read_token_word function in parse.y in GNU Bash through 4.3 bash43-026 allows remote attackers to cause a denial of service (out-of-bounds array access and application crash) or possibly have unspecified other impact via deeply nested for loops, aka the "word_lineno" issue.

Publication Date Sept. 29, 2014, 4:55 a.m.
Registration Date Jan. 26, 2021, 3:17 p.m.
Last Update Nov. 21, 2024, 11:16 a.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:gnu:bash:4.0:rc1:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:4.3:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:3.2.48:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:1.14.3:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:4.1:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:2.05:a:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:2.05:b:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:2.05:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:1.14.1:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:3.0:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:2.01:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:2.04:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:2.0:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:2.01.1:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:1.14.7:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:3.1:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:1.14.6:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:1.14.2:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:4.0:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:1.14.4:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:4.2:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:2.02.1:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:3.0.16:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:1.14.5:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:1.14.0:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:2.02:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:3.2:*:*:*:*:*:*:*
cpe:2.3:a:gnu:bash:2.03:*:*:*:*:*:*:*
Related information, measures and tools
Common Vulnerabilities List