Обнаружена критическая уязвимость Unix/Linu Bash

В командной оболочке Unix/Linu Bash, установленной почти на всех популярных дистрибутивах Linux, обнаружена критическая уязвимость, которая допускает удаленное исполнение кода на компьютере. Проблема связана с некорректной обработкой переменных окружения и shell-функций при организации экспорта в другие экземпляры bash: после обработки определения функции bash не останавливается, а продолжает выполнение блоков кода из некоторых переменных окружения, полученных от других процессов.

Во многих широко используемых конфигурациях уязвимость можно эксплуатировать по сети, и атаковать любое приложение, запускающее bash либо скрипты на bash с установкой переменных окружения на основе внешних данных. В частности, уязвимость позволяет атаковать CGI-скрипты, dhclient, CUPS и конфигурации OpenSSH (за счет использования переменных AcceptEnv, TERM, и SSH_ORIGINAL_COMMAND).

Для устранения уязвимости уже выпущена заплатка, доступная как в виде исходного кода, так и в обновлениях для Debian, Ubuntu, RHEL.