Oui, vous l'êtes techniquement vulnérable. Donc, si vous avez envie de paniquer ou de facturer quelques heures de travail paniqué à un client paniqué, foncez!
Mais la réalité est que si vous n'autorisez pas l'accès SSH à partir de connexions distantes ou d'un serveur Web exécutant des scripts côté serveur, vous ne courez aucun risque. Vous n'êtes vraiment vulnérable que si quelqu'un que vous ne connaissez pas peut accéder à distance à votre machine. faites-le d'une manière où une commande Bash peut être exécutée.
Cela veut dire que votre Mac de bureau - qui n’exécute aucune application serveur - n’expose aucun risque sérieux. Je suis prêt à manger une "tarte humble" proverbiale ici, mais je ne pense pas que la majorité des utilisateurs de Mac seront exposés à un risque à la fin de la journée.
Ce problème concerne donc principalement les administrateurs système sous Mac OS X & amp; Les serveurs Unix / Linux exposés au monde, pas les utilisateurs de bureau qui n'activent pas le partage SSH.
Il existe peut-être un risque marginal qu'un logiciel malveillant ou un virus Mac soit créé pour exploiter ce risque, mais j'en doute.
MODIFIER: Et juste pour expliquer en quoi ce problème est - à mon humble avis - pas vraiment un problème pour la plupart des utilisateurs moyens, oui je peux exécuter la commande suivante depuis bash sur Mac OS X 10.9.5:
env x='() { :;}; echo vulnerable' bash -c 'echo hello'
Et je vois ceci:
vulnerable
hello
Devine quoi? Ce n’est terrifiant que si vous n’y réfléchissez pas de manière rationnelle. Je devais déjà être connecté à mon Mac pour même ouvrir le terminal. Et pour nier ce que j'ai dit à propos de SSH ci-dessus, et même pour arriver au point où je peux exécuter ce test même si SSH est activé, je dois toujours être connecté pour commencer. Et ensuite, disons que j’ai l’accès via SSH, la commande ne me permet pas de faire AUCUNE chose au-delà de mes droits d’utilisateur normaux, tels que:
env x='() { :;}; echo vulnerable' bash -c 'cat /etc/ssh_host_rsa_key'
Cela signifie que si vous êtes vraiment vulnérable à être exploité par ce piratage, votre sécurité principale sur le système devra être tellement compromise que le fait que bash a une faille est vraiment le moindre de vos problèmes.
Ceci est une préoccupation d'un contrôle global & amp; question de droits comme le potentiel permettre un accès involontaire, car le comportement dépasse les normes attendues. Mais à mon humble avis, ce n’est pas un risque équivalent à OpenSSL ou à la variante jardinage «laissez-moi laisser mon mot de passe sur une note collée à l’écran», de risques.
À la fin de la journée, je suis toujours en train de patcher tous mes serveurs Linux / Unix que je lance en tant que procédure standard. Et je mettrai volontiers à jour les Mac que je gère une fois le correctif publié. Mais pour une utilisation quotidienne pratique, je me sens bien de ne pas m'inquiéter de cela, car je ne comprends pas comment une faille qui ne permet pas des privilèges d'utilisateur élevés ajoute à rien.
METTRE À JOUR: Mot officiel d'Apple posté ici ; mon accentuation:
“La grande majorité des utilisateurs d’OS X ne sont pas exposés aux risques récemment signalés.
vulnérabilités bash, " un porte-parole d’Apple a déclaré à iMore. "Bash, un UNIX
shell de commande et le langage inclus dans OS X, a une faiblesse qui pourrait
permettre aux utilisateurs non autorisés de prendre le contrôle à distance des personnes vulnérables
systèmes. Avec OS X, les systèmes sont sécurisés par défaut et ne sont pas exposés à
Exploits distants de bash sauf si les utilisateurs configurent des services UNIX avancés. Nous travaillons à fournir rapidement une mise à jour logicielle pour nos logiciels avancés.
Utilisateurs UNIX. ”
Traduction: Ce que j’ai dit plus haut à propos du fait qu’il s’agit d’un problème lié au serveur pas un problème de client? Exactement.
UNE MISE À JOUR FINALE: Pour ceux qui ont du mal à compiler leurs sources, le 29 septembre, Apple a officiellement publié les correctifs pour Mac OS X 10.9.5, 10.8.5 et 10.7.5:
ENCORE UNE AUTRE MISE À JOUR FINALE: Et maintenant, Apple vient de publier une mise à jour de sécurité combinée qui comprend le bash mettre à jour aussi bien !
Remarque: la mise à jour de sécurité 2014-005 inclut le contenu de sécurité d'OS X
bash mise à jour 1.0