🛡 xj1.fr/cve
FICHE CVE

CVE-2014-7169

Publiée le 2014-09-25 · Dernière modification le 2026-06-17 KEV — activement exploitée

🇫🇷 EN BREF

Les versions de GNU Bash jusqu'à la 4.3 sont affectées par une faille qui permet à un attaquant d'exécuter des commandes arbitraires en envoyant des variables d'environnement malformées. Cela se produit généralement lorsque Bash est déclenché par un service réseau, tel qu'un serveur web Apache utilisant CGI ou un serveur OpenSSH avec l'option ForceCommand activée. Puisqu'aucune authentification ni interaction de l'utilisateur n'est requise, un attaquant distant peut exploiter cette vulnérabilité via le réseau pour prendre le contrôle total du système affecté.

ACTIVEMENT EXPLOITÉE (KEV DE LA CISA)

GNU Bourne-Again Shell (Bash) Arbitrary Code Execution Vulnerability — GNU Bash through 4.3 processes trailing strings after function definitions in the values of environment variables, which allows remote attackers to execute code. This CVE correctly remediates the vulnerability in CVE-2014-6271. Ajoutée au catalogue KEV de la CISA le 2022-01-28. Date limite de correction (agences fédérales américaines) : 2022-07-28.

CVSS 3.19.8 CRITIQUE
Type de faiblesse
Injection de commandes système · CWE-78
Publiée2014-09-25
Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau
Complexité d'attaqueFaible
Privilèges requisAucun
Interaction utilisateurAucune
PortéeInchangée
Impact sur la confidentialitéÉlevé
Impact sur l'intégritéÉlevé
Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

GNU Bash through 4.3 bash43-025 processes trailing strings after certain malformed function definitions in the values of environment variables, which allows remote attackers to write to files or possibly have unknown other impact via a crafted environment, as demonstrated by vectors involving the ForceCommand feature in OpenSSH sshd, the mod_cgi and mod_cgid modules in the Apache HTTP Server, scripts executed by unspecified DHCP clients, and other situations in which setting the environment occurs across a privilege boundary from Bash execution. NOTE: this vulnerability exists because of an incomplete fix for CVE-2014-6271.