RealRisk calcula el riesgo inherente: severidad, probabilidad de explotación
y si hay explotación confirmada, sin conocer tu entorno. Para saber si te afecta de verdad, usa
el verificador cuando esté disponible. El riesgo residual, con tu exposición y
tus controles, lo determinas tú.
| Recomendación |
🔴 Parchado inmediato
Explotación activa confirmada, está en el catálogo CISA KEV.
|
| Severidad de riesgo |
Crítica (QDS 98/100)
Explotación activa confirmada (CISA KEV): el riesgo se eleva sobre el CVSS.
|
| Severidad inherente |
Crítica (del CVSS base) |
| CVSS |
9.8 (versión 3.1, Crítica)
|
| Probabilidad de explotación (30 días) |
99.94%
La urgencia viene de la explotación confirmada (KEV), no de este pronóstico.
|
| ¿Explotación activa confirmada? |
Sí, catálogo KEV de CISA
|
Descripción de la vulnerabilidad
GNU Bash through 4.3 bash43-025 processes trailing strings after certain malformed function definitions in the values of environment variables, which allows remote attackers to write to files or possibly have unknown other impact via a crafted environment, as demonstrated by vectors involving the ForceCommand feature in OpenSSH sshd, the mod_cgi and mod_cgid modules in the Apache HTTP Server, scripts executed by unspecified DHCP clients, and other situations in which setting the environment occurs across a privilege boundary from Bash execution. NOTE: this vulnerability exists because of an incomplete fix for CVE-2014-6271.
Detalles técnicos
Plazo de remediación (CISA KEV)
| Nombre de la vulnerabilidad |
GNU Bourne-Again Shell (Bash) Arbitrary Code Execution Vulnerability |
| Proveedor / Producto |
GNU · Bourne-Again Shell (Bash) |
| Conocido / explotado desde |
2022-01-28 (incorporación al catálogo KEV) |
| Fecha límite CISA |
2022-07-28
· vencido hace 1565 días
|
| Acción requerida por CISA |
Apply updates per vendor instructions. |
Inteligencia de amenaza
| Uso en campañas de ransomware |
Sin asociación a ransomware registrada por CISA
|
| Actores / campañas atribuidas |
Sin campañas atribuidas conocidas en las fuentes. |
| Indicadores de compromiso (IOCs) |
Sin IOCs públicos en las fuentes consultadas (NVD, EPSS, CISA KEV). |
Referencias técnicas