Kritische Sicherheitslücke in bash - auch Mac davon betroffen

26/09/2014 - 14:45 von Fritz | Report spam
<http://cert.at/warnings/all/20140925.html>
Zitat:
»In der verbreiteten UNIX/Linux-Shell 'bash' (Bourne Again Shell) wurde
ein Fehler in der Methode mit der Umgebungsvariablen verarbeitet werden
entdeckt. Durch Ausnutzung dieses Fehler kann beliebiger Code auf
betroffenen Systemen ausgeführt werden, in bestimmtem Situationen ist
dies auch über das Netzwerk (Internet) möglich.«

<http://www.heise.de/newsticker/meld...5.html>
Zitat:
»Abhilfe
Ob das eigene System verwundbar ist, findet man laut Red Hat heraus,
indem man in Bash den folgenden Befehl ausführt:

env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

Gibt die Shell die Zeichenfolge vulnerable aus, ist sie verwundbar.
Patches für Bash stehen nun bereit und sowohl Ubuntu als auch Red Hat
und Debian haben mit der Verteilung einer neuen Bash-Version begonnen.
Fedora und OpenSuse arbeiten ebenfalls daran, die Sicherheitslücke zu
schließen.
Der Entdecker der Lücke hat diese zuerst an das Debian-Sicherheitsteam
gemeldet, welches den Patch mit den Bash-Entwicklern beim GNU-Projekt
koordiniert hatte. Die Veröffentlichung der Lücke wurde dann von
mehreren Projekten koordiniert durchgeführt.«

Mavericks:
$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test

Fritz
 

Lesen sie die antworten

#1 Juergen P. Meier
26/09/2014 - 14:58 | Warnen spam
Fritz :
Mavericks:
$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test



Guten Morgen.

Ja, OS X hat eine betroffene bash, die auch noch nicht gepatcht
ist (von Apple).

Exponiert ist die Mehrzahl aller Mac Nutzer deswegen trotzdem nicht.

Diese Luecke in der bash muss naemlich anderswo erst ausnutzbar sein.

Ein Mac user muesste z.B. erst verwundbare WEb Applications auf seinem
Mac Installieren.

Oder seine Drucker per Cups ohne Anmeldung fuer alle Welt freigeben.

Oder eine VMware[tm] Fusion(r) Windows VM mit allen Sharing-Features
angeschaltet (OSX apps in Windows, Windows-Apps in OSX) laufen haben,
wo sich auf dem Windows Leute anmelden duerfen, die auf dem OSX keine
Zugriffsrechte haben duerfen. (was sich in sich wiederspricht)

Der Ottonormalappleuser hingegen ist davon erstmal nicht weiter
betroffen.

Also keine Panik.

Juergen
Juergen P. Meier - "This World is about to be Destroyed!"
end
If you think technology can solve your problems you don't understand
technology and you don't understand your problems. (Bruce Schneier)

Ähnliche fragen