{"data":{"case":{"actions":{"de":["Aktualisiere Bash über die Updates deines Systems: Bash 4.3 braucht die **Patches 025 bis 030**, ältere Versionen die entsprechenden Patches.","Prüfe eingebettete Geräte, etwa Geräte mit eingebautem Linux, die keine Updates mehr bekommen: Auf ihnen kann noch eine ungepatchte Bash laufen.","Schalte CGI-Skripte auf Webservern ab, die du nicht mehr brauchst: Über sie gelangte eine einzige präparierte Webanfrage bis zu Bash."],"en":["Update Bash through your system's updates: Bash 4.3 needs **patches 025 to 030**, older versions the matching patches.","Check embedded devices, such as appliances with built-in Linux, that no longer get updates: they may still run an unpatched Bash.","Switch off CGI scripts on web servers that you no longer need: a single crafted web request reached Bash through them."]},"criteria":{"damage":{"de":"Weder Schadenszahlen noch Ausfälle kritischer Dienste sind belegt; die Angriffszahlen stammen aus Sensoren der Anbieter, nicht aus Schadensmeldungen.","en":"No damage figures and no outages of critical services are documented; the attack counts come from vendors' sensors, not from damage reports.","met":false},"exploitation":{"de":"Innerhalb von vier Tagen trafen Angriffe mehr als 4.115 von Imperva geschützte Websites, und Cloudflare blockierte mehr als 1,1 Millionen Angriffe (Anbieterdaten von Imperva und Cloudflare).","en":"Within four days, attacks hit more than 4,115 websites protected by Imperva, and Cloudflare blocked more than 1.1 million attacks (vendor data from Imperva and Cloudflare).","met":true},"reach":{"de":"Bash gehört bei Linux und macOS zum Grundbestand des Betriebssystems (US-CERT), und auf Linux allein laufen heute 63,2 % aller Websites, deren Betriebssystem bekannt ist (W3Techs, 23. Oktober 2026).","en":"Bash is part of the base operating system of Linux and macOS (US-CERT), and Linux alone runs 63.2 % of all websites whose operating system is known today (W3Techs, October 23, 2026).","met":true},"response":{"de":"In elf Tagen erschienen sechs Bash-Patches, aber keine Maßnahme über das übliche Patchen hinaus ist belegt (Patch-Archiv von GNU Bash, US-CERT).","en":"Six Bash patches came out in eleven days, but no measure beyond routine patching is documented (GNU Bash patch archive, US-CERT).","met":false}},"cves":["CVE-2014-6271","CVE-2014-7169","CVE-2014-7186","CVE-2014-7187","CVE-2014-6277","CVE-2014-6278"],"cvss":9.8,"cvss_version":"3.1","cwe":"CWE-78","dates":[{"date":"2014-09-15","de":"Früheste belegte Meldung, im Bug-Tracker von Red Hat, noch geheim","en":"Earliest documented report, in Red Hat's bug tracker, still kept secret"},{"date":"2014-09-24","key":"disclosed"},{"date":"2014-09-24","key":"patched"},{"date":"2014-09-25","de":"Der erste Fix erweist sich als unvollständig; seine Umgehung erhält eine eigene CVE-Nummer","en":"The first fix proves incomplete; the way around it gets its own CVE"},{"date":"2014-09-26","de":"Die Angriffe erreichen in den Sensordaten von Cisco ihren Höhepunkt","en":"Attacks peak in Cisco's sensor data"},{"date":"2014-10-05","de":"Sechster und letzter Bash-Patch der Reihe","en":"Sixth and last Bash patch of the series"}],"de":{"credit":"Ein unabhängiger Unix- und Linux-Spezialist; die Folgelücken fanden andere Forscher","fixed":"Patches 025 bis 030 für Bash 4.3 (24. September bis 5. Oktober 2014) und entsprechende Patches für ältere Versionen","product":"GNU Bash, die Shell von Linux, Unix und macOS","summary":"Eine Lücke in Bash, der Shell von Linux und macOS, ließ Angreifer mit einer einzigen präparierten Anfrage Befehle auf Webservern ausführen."},"disclosed":"2014-09-24","en":{"credit":"An independent Unix and Linux specialist; follow-up flaws by other researchers","fixed":"Bash 4.3 patches 025 to 030 (September 24 to October 5, 2014) and matching patches for older versions","product":"GNU Bash, the command shell of Linux, Unix and macOS","summary":"A flaw in Bash, the command shell of Linux and macOS, let attackers run commands on web servers with a single crafted request."},"figures":[{"de":"der Websites mit bekanntem Betriebssystem laufen heute auf Linux, bei dem Bash zum System gehört","en":"of websites with a known operating system run on Linux today, where Bash is part of the system","value":"63.2 %"},{"de":"Shellshock-Angriffe pro Sekunde zu Beginn, allein bei Cloudflare (Anbieterdaten)","en":"Shellshock attacks per second at first, at Cloudflare alone (vendor data)","value":"10–15"},{"de":"Bash-Patches in elf Tagen, weil die ersten Fixes unvollständig waren","en":"Bash patches in eleven days, because the first fixes were incomplete","value":"6"}],"kev":"2022-01-28","key":"shellshock","name":"Shellshock","product":"GNU Bash","sources":[{"de":"oss-security: der erste öffentliche Sicherheitshinweis zu CVE-2014-6271","title":"oss-security: the first public advisory on CVE-2014-6271","url":"https://www.openwall.com/lists/oss-security/2014/09/24/10"},{"de":"GNU-Projekt: die offiziellen Patches für Bash 4.3, mit Datum","title":"GNU project: the official Bash 4.3 patches, with their dates","url":"https://ftp.gnu.org/gnu/bash/bash-4.3-patches/"},{"de":"US-CERT-Warnung TA14-268A zu Shellshock","title":"US-CERT alert TA14-268A on Shellshock","url":"https://www.cisa.gov/news-events/alerts/2014/09/25/gnu-bourne-again-shell-bash-shellshock-vulnerability-cve-2014-6271"},{"de":"Red Hat Bugzilla: der Eintrag zu CVE-2014-6271, unter Embargo geführt","title":"Red Hat Bugzilla: the entry for CVE-2014-6271, tracked under embargo","url":"https://bugzilla.redhat.com/show_bug.cgi?id=1141597"},{"de":"NVD: CVE-2014-6271","title":"NVD: CVE-2014-6271","url":"https://nvd.nist.gov/vuln/detail/CVE-2014-6271"},{"de":"Cisco Talos: Shellshock-Angriffe im Netz (Anbieterdaten)","title":"Cisco Talos: Shellshock exploits in the wild (vendor data)","url":"https://blogs.cisco.com/security/talos/shellshock-exploits-in-the-wild"},{"de":"Cloudflare: Shellshock im Detail (Anbieterdaten)","title":"Cloudflare: Inside Shellshock (vendor data)","url":"https://blog.cloudflare.com/inside-shellshock"},{"de":"Imperva: die Folgen von Shellshock (Anbieterdaten)","title":"Imperva: The Shellshock Aftermath (vendor data)","url":"https://www.imperva.com/blog/?p=7791"},{"de":"W3Techs: Nutzungsstatistik von Linux","title":"W3Techs: usage statistics of Linux","url":"https://w3techs.com/technologies/details/os-linux"}],"vector":"CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H","year":2014}},"description":"Eine Lücke in Bash, der Shell von Linux und macOS, ließ Angreifer mit einer Anfrage Befehle auf Webservern ausführen. Wie sie wirkte, die Angriffe, der Fix.","language":"de","latest_measurement":"2026-10-23","method":"latency-v3","method_page":"https://crackthe.net/de/methode/","source":"https://crackthe.net/","text":"Am 24. September 2014 wurde eine Sicherheitslücke in Bash bekannt, der Shell von Linux, Unix und macOS: dem Programm, das Befehle liest und ausführt. Über sie konnte eine einzige präparierte Webanfrage beliebige Befehle auf einem Webserver ausführen. Die Sensoren von Cisco registrierten noch am selben Tag Angriffe, und es brauchte sechs Patches in elf Tagen, um die Lücke und die danach gefundenen Schwachstellen zu schließen.\nSo funktionierte der Angriff Programme geben den Programmen, die sie starten, Einstellungen in Umgebungsvariablen mit: kleinen Textstücken mit jeweils einem Namen. Bash nutzt sie für eine weitere Aufgabe: Die Shell kann eigene kleine Programme, sogenannte Funktionen, an die nächste Bash weitergeben, die sie startet. Dazu schreibt sie die Funktion in eine Variable, deren Text mit () { beginnt.\nJeder neue Bash-Prozess ging alle seine Variablen durch und machte aus jeder, die wie eine Funktion aussah, eine Funktion. Dazu schickte er den Text durch seinen normalen Befehlsleser, den Parser. Der Parser hielt jedoch nicht an der schließenden Klammer der Funktion an, sondern führte auch jeden Befehl aus, der danach stand.\nDas wäre harmlos gewesen, wenn nur Bash selbst solche Variablen geschrieben hätte. Viele Programme kopieren jedoch Eingaben von außen in Variablen, bevor sie eine Shell starten. Webserver tun das für CGI-Skripte, kleine Programme, die ein Server startet, um eine Seite zu erzeugen: Der User-Agent-Header einer Anfrage, die Zeile, die normalerweise den Browser nennt, wird zur Variablen HTTP_USER_AGENT. DHCP-Clients, die Netzwerkeinstellungen abrufen, machen dasselbe mit Einstellungen, die das Netzwerk schickt, und ebenso OpenSSH, das Programm für Remote-Anmeldungen, bei Konten, die auf einen festen Befehl beschränkt sind.\nAngreiferschreibt einen Befehl hinter eine Funktion im Header einer Anfrage Webserverkopiert den Header in eine Variable für ein CGI-Skript Bashstartet und liest die Variable als Funktion ein Befehlwird auf dem Server ausgeführt Eine einzige Anfrage reichte: Der Webserver gab den Header weiter, und Bash führte alles aus, was auf die Funktion folgte. Reichweite und Angriffe Bash gehört bei Linux und macOS zum Grundbestand des Betriebssystems, schrieb US-CERT, das Computer-Notfallteam der US-Regierung, in seiner Warnung. Auf Linux allein laufen heute laut W3Techs 63,2 % aller Websites, deren Betriebssystem bekannt ist. Allerdings ließ sich nicht jeder dieser Server angreifen: Ein Angreifer brauchte einen Weg von außen bis zu Bash, etwa über ein CGI-Skript.\nKeine unabhängige Studie hat gemessen, wie viele Systeme verwundbar waren oder angegriffen wurden. Alle Angriffszahlen stammen von Sicherheitsfirmen, und jede sieht nur ihre eigenen Kunden. Deshalb lassen sich die Zahlen nicht addieren:\nCloudflare, das den Datenverkehr von Websites filtert, blockierte bis zum 30. September 2014 weit über 1,1 Millionen Shellshock-Angriffe. Anfangs zählte es 10 bis 15 Angriffe pro Sekunde. Incapsula, ein Firewall-Dienst von Imperva, wehrte in den vier Tagen nach der Bekanntgabe über 217.089 Angriffsversuche auf über 4.115 Websites ab. Die Angriffe kamen von mehr als 890 IP-Adressen. Die Sensoren von Cisco zeigten den Höhepunkt der Angriffe am 26. September 2014 und eine weitere Spitze zwei Tage später. Shellshock-Angriffe pro Stunde im Durchschnitt, in den Daten von Incapsula Erster Bericht, 26. September725 Nach vier Tagen, 29. September1.970 Anbieterdaten von Imperva; sie umfassen nur die Websites, die der Dienst schützt. Der erste Wert ist ungefähr, der zweite ein Mindestwert.\nDie meisten dieser Angriffe waren Tests. In den Daten von Cloudflare waren etwa 83 % Erkundung: Anfragen, die nur prüfen, ob ein Server verwundbar ist. Etwa 8 % versuchten, den Server direkt zu übernehmen.\nWas die Shellshock-Angriffe in den Daten von Cloudflare versuchten Erkundung, ob ein Server verwundbar ist83 % Direkte Versuche, den Server zu übernehmen8 % Anbieterdaten von Cloudflare, 30. September 2014. Beide Anteile sind ungefähr.\nSechs Patches in elf Tagen Das Bash-Projekt veröffentlichte seinen ersten Patch noch am Tag der Bekanntgabe. Er war unvollständig. Am 25. September erhielt eine zweite Schwachstelle eine eigene Nummer, CVE-2014-7169, weil Bash nach bestimmten fehlerhaften Funktionsdefinitionen immer noch nachfolgenden Text ausführte. Danach fanden Forscher weitere Schwachstellen im Parser, und die Warnung von US-CERT wuchs bis zum 30. September auf sechs CVE-Nummern.\nPatchDatumWas er behob bash43-02524. September 2014Die ursprüngliche Lücke, CVE-2014-6271 bash43-02626. September 2014Die Umgehung des ersten Patches, CVE-2014-7169 bash43-02727. September 2014Eine neue Art, Funktionen weiterzugeben, die die ganze Klasse von Fehlern schließt bash43-0281. Oktober 2014Zwei Speicherfehler im Parser, CVE-2014-7186 und CVE-2014-7187 bash43-0292. Oktober 2014Ein Parser-Fehler, der zu CVE-2014-6277 passt bash43-0305. Oktober 2014Ein Parser-Fehler, der zu CVE-2014-6278 passt Der dauerhafte Fix war Patch 027. Seitdem gibt Bash Funktionen nur noch unter besonderen Variablennamen weiter (BASH_FUNC_name%%), sodass eine gewöhnliche Variable, etwa eine aus einer Webanfrage, nie als Code behandelt wird. Damit waren die späteren Parser-Fehler über Variablen nicht mehr erreichbar. Ältere Bash-Versionen erhielten entsprechende Patches, und die Linux-Distributionen lieferten sie als Updates aus. Red Hat etwa verfolgte die Meldung seit dem 15. September 2014 unter Embargo, also geheim, bis ein Fix bereitstand.\nDie Warnung von US-CERT gab der Lücke die höchstmögliche Bewertung für die Auswirkungen, 10. Heute bewertet die NVD, die US-amerikanische National Vulnerability Database, die ursprüngliche Lücke mit 9,8 von 10 auf Version 3.1 der CVSS-Skala; auf der älteren Version 2 erreichen alle sechs Shellshock-CVEs den Wert 10. Die US-Cyberbehörde CISA nahm die ursprüngliche Lücke und die erste Umgehung am 28. Januar 2022 in ihre Liste ausgenutzter Schwachstellen auf, eine der späteren Parser-Lücken, CVE-2014-6278, am 2. Oktober 2025.","title":"Shellshock: Wie eine Webanfrage über Bash Befehle ausführte","url":"https://crackthe.net/de/schwachstellen/shellshock/"}