Linux Bash Shellshock (破殼) 漏洞 (CVE-2014-6271/7169) 檢測與修補完整指南

Shellshock (CVE-2014-6271、CVE-2014-7169) 允許攻擊者透過環境變數注入任意指令，影響 Bash 1.14~4.3。雖屬 2014 年漏洞，但嵌入式裝置、舊系統仍可能未修補。本文提供檢測指令、各發行版修補命令、驗證方式與緩解措施。

快速檢測 (無害測試)

# CVE-2014-6271 基礎漏洞
env x='() { :;}; echo VULNERABLE' bash -c "echo TEST"
# 輸出含 "VULNERABLE" 即受影響

# CVE-2014-7169 繞過補丁 (需 bash 解析函數定義)
env X='() { (a)=>\' bash -c "echo date"; cat echo
# 若顯示日期時間則受影響

各發行版修補命令

驗證修補結果

# 再次執行檢測指令，不應輸出 VULNERABLE
env x='() { :;}; echo VULNERABLE' bash -c "echo TEST"
# 僅輸出 TEST 即安全

# 確認版本 (補丁版本號通常不變，但 changelog 含 CVE 編號)
bash --version
rpm -q --changelog bash | grep -i shellshock
dpkg -l bash | grep ^ii

無法立即修補的緩解措施

• 改用其他 Shell (dash、zsh、fish) 作為 /bin/sh 或關鍵服務解釋器：dpkg-reconfigure dash (Debian/Ubuntu)。
• 限制 CGI/SSH/網路服務傳遞環境變數 (Apache SetEnvIf、Nginx fastcgi_param、SSH AcceptEnv 最小化)。
• 部署 WAF/IDS 規則攔截含 () { 模式的 HTTP 標頭/參數。
• 容器環境：更新基底映像 docker pull ubuntu:14.04 等已修補版本。

影響範圍評估

• 所有呼叫 Bash 的 CGI 腳本、DHCP 用戶端腳本、SSH ForceCommand、git shell、sudo 環境變數傳遞。
• 嵌入式裝置 (路由器、NAS、IoT) 固件常基於舊 Bash，風險最高。

官方參考

• CVE-2014-6271: MITRE
• CVE-2014-7169: MITRE
• Red Hat 官方說明: Bash Shellshock

立即檢測並修補所有 Linux 系統，封堵這個經典且毀滅性的遠端程式碼執行漏洞。