已发现针对 CVE-2014-6271 的修复不完整，Bash 仍然允许通过特别构建的环境变量将特定字符注入其他环境中。攻击者可能利用此缺陷替代或绕过环境限制，以执行 shell 命令。某些服务和应用程序允许未经认证的远程攻击者提供环境变量，从而利用此问题。
(CVE-2014-7169)

直接将 bash 函数创建为环境变量的应用程序需要注意此更新处理名称的方式的变化。

注意：建议 Docker 用户在其容器中使用“yum update”，并提交所得更改。

有关 CVE-2014-6271 和 CVE-2014-7169 的附加信息，请参阅 https://securityblog.redhat.com/2014/09/24/bash-specially crafted-environment-variables-code-injection-attack/

检测

Scientific Linux 安全更新：SL5.x、SL6.x i386/x86_64 中的 bash (Shellshock)

critical Nessus 插件 ID 77956

版本 1.17