Так, ви технічно вразливі. Тож якщо ви відчуваєте, як панікувати або виставляти рахунки панікованому клієнту за кілька годин панічної роботи, продовжуйте це робити!
Але реальність полягає в тому, що якщо ви не дозволите доступ SSH через віддалені з'єднання або веб-сервер, який запускає сценарій на стороні сервера, ви не ризикуєте. Ви справді вразливі лише тоді, коли хтось, кого ви не знаєте, може віддалено отримати доступ до вашої машини і зробити це таким чином, щоб можна було виконати команду Bash.
Значення вашого настільного Mac - який насправді не запускає серверні програми будь-якого типу - не становить жодного серйозного ризику. Я готовий з'їсти тут якийсь пословічний "скромний пиріг", але я не думаю, що більшість користувачів Mac тут будуть ризикувати в кінці дня.
Тож ця проблема в основному хвилює системних адміністраторів на серверах Mac OS X & Unix / Linux, що піддаються впливу світу, а не користувачів настільних ПК, які не дозволяють ділитися SSH.
Можливо, існує великий ризик створення шкідливих програм або вірусів Mac для використання цього ризику, але я сумніваюся.
EDIT: І лише для того, щоб уточнити, як ця проблема - на мою скромну думку - насправді не є проблемою для більшості пересічних користувачів, так, я можу виконати наступну команду з bashMac OS X 10.9.5:
env x='() { :;}; echo vulnerable' bash -c 'echo hello'
І я це бачу:
vulnerable
hello
Вгадай що? Це жахливо лише, якщо ви не раціонально продумуєте це. Мені вже довелося ввійти в свій Mac, щоб навіть відкрити Термінал. І щоб відмовитись від того, що я говорив про SSH вище, щоб навіть дійти до того, що я можу запустити цей тест, навіть якщо SSH увімкнено, я все одно повинен був увійти до системи. І тоді - скажімо, я отримую доступ через SSH - команда не дозволяє мені робити що-небудь раніше моїх звичайних прав користувача, таких як ця:
env x='() { :;}; echo vulnerable' bash -c 'cat /etc/ssh_host_rsa_key'
Це означає, що якщо ви справді вразливі до експлуатації цим хаком, ваша основна безпека в системі повинна бути настільки скомпрометована, що той факт, який bashмає недолік, насправді є найменшим вашим питанням.
Це викликає занепокоєння із загального питання контролю та прав, оскільки це потенціал дозволити ненавмисний доступ, оскільки поведінка виходить за рамки очікуваних норм. Але, на мою скромну думку, це не ризик нарівні з OpenSSL або сортом саду, "дозвольте мені залишити свій пароль на замітці, записаній на мій екран".
Наприкінці дня я все ще виправляю всі мої сервери Linux / Unix, які я запускаю як стандартну процедуру. І з радістю буде виправити Macs, яким я керую, як тільки виправлення вимкнеться. Але для практичного щоденного використання я відчуваю себе прекрасно, не переживаючи про це, оскільки не розумію, як недолік, який не дозволяє отримати підвищені привілеї користувача, ні до чого.
ОНОВЛЕННЯ: Офіційне слово від Apple, розміщене тут ; акцент міна:
"Переважна більшість користувачів OS X не загрожує нещодавно повідомленим вразливим уявленням, - заявив прес-секретар Apple iMore." Bash, командна оболонка UNIX і мова, що входить в OS X, має слабкість, яка може дозволити стороннім користувачам віддалено отримувати контроль вразливих систем. З ОС X системи за замовчуванням безпечні і не піддаються віддаленим подвигам bash, якщо користувачі не налаштують розширені послуги UNIX.
Ми працюємо над тим, щоб швидко забезпечити оновлення програмного забезпечення для наших досвідчених користувачів UNIX. "
Переклад: Що я говорив вище про те, що це проблема сервера, а не проблема клієнта? Саме так.
ЗАКЛЮЧНЕ ПОДРОБНЕ: Для тих, хто бореться зі збиранням з джерела, станом на 29 вересня Apple офіційно випустила патчі для Mac OS X 10.9.5, 10.8.5, а також 10.7.5:
ІНШИЙ ЗАКЛЮЧНИЙ ОНОВЛЕННЯ: І тепер, Apple щойно випустила комбіноване оновлення безпеки, яке включає і bashоновлення !
Примітка. Оновлення безпеки 2014-005 включає вміст безпеки OS X bash Update 1.0