Sind Macs anfällig für den Bash-Shellshock-Bug?

Red Hat hat kürzlich einen großen Sicherheitsfehler in der Bash-Shell angekündigt . Einige nennen es den "Shellshock" -Fehler. Ist OS X, das auf Unix basiert, anfällig für Angriffe, die diesen Fehler ausnutzen?

Muss ich mich als Endbenutzer um eine sofortige Lösung kümmern? Oder ist es besser für mich, auf ein offizielles Software-Update von Apple zu warten?

Ja, Sie sind technisch verwundbar. Wenn Sie also Lust haben, einem Kunden, der in Panik geraten ist, ein paar Stunden lang Panik zu versetzen oder diese in Rechnung zu stellen, dann machen Sie mit!

In Wirklichkeit sind Sie jedoch nicht gefährdet, wenn Sie keinen SSH-Zugriff über Remoteverbindungen oder einen Webserver zulassen, auf dem serverseitige Skripts ausgeführt werden. Sie sind nur dann wirklich verwundbar, wenn jemand, den Sie nicht kennen, über Fernzugriff auf Ihren Computer zugreifen und dies auf eine Weise tun kann, bei der ein Bash-Befehl ausgeführt werden kann.

Das heißt, Ihr Desktop-Mac - auf dem wirklich keine Serveranwendungen ausgeführt werden - ist keinem ernsthaften Risiko ausgesetzt. Ich bin bereit, hier eine sprichwörtliche "bescheidene Torte" zu essen, aber ich glaube nicht, dass die Mehrheit der Mac-Benutzer am Ende des Tages einem Risiko ausgesetzt sein wird.

Daher ist dieses Problem hauptsächlich für Systemadministratoren auf Mac OS X- und Unix / Linux-Servern von Belang, nicht für Desktop-Benutzer, die die SSH-Freigabe nicht aktivieren.

Vielleicht besteht das Risiko, dass ein Mac-Schadprogramm oder ein Mac-Virus erstellt wird, um dieses Risiko auszunutzen, aber ich bezweifle es.

EDIT: Und nur um zu erläutern, wie dieses Problem - meiner bescheidenen Meinung nach - für die meisten Durchschnittsbenutzer eigentlich kein Problem darstellt, kann ich unter bashMac OS X 10.9.5 den folgenden Befehl ausführen:

env x='() { :;}; echo vulnerable' bash -c 'echo hello'

Und ich sehe das:

vulnerable
hello

Erraten Sie, was? Das ist nur erschreckend, wenn Sie dies nicht rational ausdenken. Ich musste bereits auf meinem Mac eingeloggt sein, um das Terminal öffnen zu können. Und um zu negieren, was ich oben über SSH gesagt habe, um überhaupt zu dem Punkt zu gelangen, an dem ich diesen Test ausführen kann, selbst wenn SSH aktiviert ist, müsste ich zunächst noch angemeldet sein. Und dann - sagen wir, ich erhalte Zugriff über SSH - kann ich mit dem Befehl NICHTS tun, das über meine normalen Benutzerrechte hinausgeht:

env x='() { :;}; echo vulnerable' bash -c 'cat /etc/ssh_host_rsa_key'

Das heißt, wenn Sie wirklich gefährdet sind, von diesem Hack ausgenutzt zu werden, müsste Ihre Kernsicherheit auf dem System so gefährdet sein, dass die Tatsache, dass bashein Fehler vorliegt, wirklich das allerwenigste Ihrer Probleme ist.

Dies ist ein Anliegen von einem Gesamtkontrolle und Rechte Problem , da es als das Potential unbeabsichtigten Zugang zu ermöglichen , da das Verhalten außerhalb der erwarteten Normen erstreckt. Meiner bescheidenen Meinung nach ist dies jedoch kein mit OpenSSL oder der Sorte garden vergleichbares Risiko.

Letztendlich patche ich immer noch alle meine Linux / Unix-Server, die ich als Standardprozedur ausführe. Und die Macs, die ich verwalte, werden glücklich gepatcht, sobald eine Korrektur abgeschlossen ist. Aber für den praktischen Alltag ist mir das völlig egal, da ich nicht verstehe, wie sich ein Fehler, der keine erhöhten Benutzerrechte zulässt, summiert.

UPDATE: Offizielles Wort von Apple hier veröffentlicht ; Hervorhebung von mir:

"Die überwiegende Mehrheit der OS X-Benutzer ist nicht gefährdet, kürzlich gemeldete Bash-Sicherheitslücken zu entdecken", sagte ein Apple-Sprecher gegenüber iMore Kontrolle anfälliger Systeme. Unter OS X sind Systeme standardmäßig sicher und können nur dann von Bash-Servern aus der Ferne ausgenutzt werden, wenn Benutzer erweiterte UNIX-Dienste konfigurieren. Wir arbeiten daran, unseren fortgeschrittenen UNIX-Benutzern schnell ein Software-Update zur Verfügung zu stellen. “

Übersetzung: Was ich oben gesagt habe, ist dies ein Server- und kein Client-Problem? Genau.

EIN ENDGÜLTIGES UDPATE: Ab dem 29. September hat Apple offiziell Patches für Mac OS X 10.9.5, 10.8.5 und 10.7.5 veröffentlicht.

• OS X Bash Update 1.0 - OS X Mavericks
• OS X Bash Update 1.0 - OS X Mountain Lion
• OS X Bash Update 1.0 - OS X Lion

NOCH EIN ANDERES ENDGÜLTIGES UPDATE: Und jetzt hat Apple heute ein kombiniertes Sicherheitsupdate veröffentlicht, das auch das bashUpdate enthält !

Hinweis: Das Sicherheitsupdate 2014-005 enthält den Sicherheitsinhalt von OS X bash Update 1.0

Ja!

Geben Sie dies in Ihre Shell ein

env x='() { :;}; echo vulnerable' bash -c 'echo hello'

Wenn es heißt, vulnerabledann sind Sie verwundbar.

Wenn es heißt

bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
hello

dann bist du gut

Bearbeiten: Link zum Fix

Überprüfen Sie als Endbenutzer Folgendes:

• Ihr Gastkonto ist deaktiviert:

  Systemeinstellungen> Benutzer und Gruppen> Gastbenutzer
  

• Ihr sshZugang ist deaktiviert:

  Systemeinstellungen> Freigabe> Remote-Anmeldung
  

Standardmäßig sind diese beiden Optionen bei Mavericks deaktiviert.

Als Endbenutzer ist es sicherer , auf ein offizielles Apple-Sicherheitsupdate zu warten , mit dem diese Sicherheitsanfälligkeit behoben wird bash.

Alle Mac OS X-Computer sind technisch anfällig für "Shellshock", bis Apple ein Sicherheitsupdate herausgibt, das bash-Patches enthält.

Ihre Frage sollte lauten: Kann ich aus der Ferne gehackt werden?

Es gibt so viel Software, die bashgeistesabwesend verwendet , dass es extrem schwierig ist, diese Frage zu beantworten. Wenn Sie sich Sorgen machen, schlagen wir einige Änderungen vor System Preferences, um Remote-Exploits zu verhindern:

• Deaktivieren Sie ALLE Freigabedienste in den Freigabeeinstellungen.
• Aktivieren Sie die Firewall unter Sicherheit und Datenschutz.

Wenn Sie besonders besorgt sind, drücken Sie die FirewallOptionstaste, um:

• Deaktivieren Sie Automatically allow signed software to receive incoming connections.
• Überprüfen Sie Block all incoming connections.

Es besteht immer noch eine respektable Chance, dass Sie für einen Level-Angriff mit DHCP, Bonjour usw. anfällig sind. Wenn Sie jedoch einen anderen Dienst benötigen, können Sie ihn natürlich laufen lassen, während Sie hoffen, dass er nicht ausgenutzt wird. Außerdem müssen Sie die Firewall offener lassen. Es ist wahrscheinlich in Ordnung, wenn Ihr Computer sich hinter einer anderen Firewall befindet.

Gibt es auch lokale Eskalationsangriffe auf Privilegien, die durch "Shellshock" aktiviert wurden? Ja, mit ziemlicher Sicherheit. Ich würde mir jedoch keine Sorgen machen, da Mac OS X über genügend ähnliche Angriffe verfügt. Apple behebt lokale Eskalationsfehler nicht schnell. Und Apple erstellt sie häufig mit Apple Script-fähigen Diensten. Angenommen, alle Mac OS X-Computer sind immer für lokale Angriffe anfällig. Wenn Sie an Hacker-Konferenzen wie DEFCON teilnehmen müssen, kaufen Sie sich zu diesem Zweck eine Linux-Box.

Update: Es gibt Anweisungen zum erneuten Kompilieren Ihrer eigenen festen Bash und andere Fragen, die ebenfalls behandelt werden. Ich mache das selbst, aber meiner Meinung nach ist das übertrieben, wenn Sie keine Server betreiben und die Firewall von Apple trotzdem eingeschaltet lassen.

Update: Wenn Sie bequem mit Terminal - Nutzung, gibt es ein Programm namens execsnooperwähnte hier , dass lassen Sie testen , ob bash in der Regel von Ihren Server - Prozessen genannt wird. Dies ist kein Wundermittel, da der Serverprozess Bash nur in ungewöhnlichen Situationen aufruft, aber es gibt Ihnen eine gute Idee.

Schließlich ist Apple nicht besonders gut darin, Sicherheitslücken zu patchen, aber sie sind gut in PR, so dass dies relativ schnell gepatcht wird. Es ist daher vernünftig zu denken, dass "ich nicht schneller laufen muss als der Bär, sondern nur schneller als die große Anzahl von leicht ausnutzbaren Servern im Internet". :)

Ich habe dieses Tool erstellt , sobald ich von dieser Sicherheitsanfälligkeit erfahren habe. Sie erhalten einen Link zu einem Artikel, mit dem Sie Ihre Shell patchen können, wenn das Tool feststellt, dass Sie anfällig sind.

Benötigt Mac OS X 10.6 und höher.