Vlákno názorů ke zprávičce Chyba v bashi umožňuje vzdálené spuštění kódu od Sten - Chyba se projevuje při importu proměnných prostředí do...

Chyba se projevuje při importu proměnných prostředí do bashe. bash proměnné s obsahem začínajícím () interpretuje jako funkce a pro jejich import používá něco jako eval, což bohužel spustí i kód za definicí té funkce.

Co se týče OpenSSH, zranitelnost je to pouze v případě, že máte uživatele, kteří mají nastavený ForceCommand (v sshd_config nebo authorized_keys) a zároveň používají bash. Většina instalací Debianu je tedy v bezpečí, protože pro takové uživatele používá dash.

Navíc specifické proměnné bashe umožňují dělat to samé (např. PS1).

To záleží k čemu se ten ForceCommand používá - pokud je např. vynuceno spuštění nějakého bash skriptu (který má v záhlaví bash shebang, aby mohl používat bashismy), může to způsobit docela průser.

Ještě že např. gitolite jede v perlu, co? :)