CVE-2014-6271

GNU Bash fino alla versione 4.3 elabora le stringhe finali dopo le definizioni di funzione nei valori delle variabili d'ambiente, il che consente a un attaccante remoto di eseguire codice arbitrario tramite un ambiente appositamente predisposto, come dimostrato da vettori che coinvolgono la funzionalità ForceCommand in OpenSSH sshd, i moduli mod_cgi e mod_cgid di Apache HTTP Server, script eseguiti da client DHCP non specificati e altre situazioni in cui l'impostazione dell'ambiente avviene attraverso un confine di privilegio rispetto all'esecuzione di Bash, nota anche come "ShellShock." NOTA: la correzione originale per questo problema era errata; CVE-2014-7169 è stato assegnato per coprire la vulnerabilità che resta presente dopo la correzione errata.