हां आप तकनीकी रूप से कमजोर हैं। इसलिए अगर आपको घबराहट या कुछ घबराहट के काम के लिए घबराए हुए ग्राहक की बिलिंग करने का मन करता है, तो इसके लिए जाएं!
लेकिन वास्तविकता यह है कि जब तक आप एसएसएच को दूरस्थ कनेक्शन या सर्वर साइड स्क्रिप्टिंग से चलने वाले वेब सर्वर से एक्सेस करने की अनुमति नहीं देते, तब तक आपको कोई खतरा नहीं है। यदि आप नहीं जानते हैं तो आप वास्तव में केवल कमजोर हैं, जो आपके मशीन को दूरस्थ रूप से एक्सेस कर सकते हैं और इस तरह से कर सकते हैं जहां बैश कमांड निष्पादित किया जा सकता है।
मतलब आपका डेस्कटॉप मैक-जो वास्तव में किसी भी तरह का सर्वर एप्लिकेशन नहीं चलाता है - किसी भी गंभीर जोखिम पर नहीं है। मैं यहां कुछ लौकिक "विनम्र पाई" खाने के लिए तैयार हूं, लेकिन मुझे नहीं लगता कि मैक उपयोगकर्ताओं के अधिकांश दिन के अंत में जोखिम में होंगे।
तो यह मुद्दा मुख्य रूप से मैक ओएस एक्स और यूनिक्स / लिनक्स सर्वरों पर सिस्टम प्रशासकों के लिए चिंता का विषय है, जो कि डेस्कटॉप उपयोगकर्ता नहीं हैं, जो एसएसएच साझाकरण को सक्षम नहीं करते हैं।
शायद इस जोखिम का फायदा उठाने के लिए किसी मैक मालवेयर या वायरस का एज रिस्क हो, लेकिन मुझे शक है।
संपादित करें: और यह विस्तृत करने के लिए कि यह मुद्दा कैसा है - मेरी विनम्र राय में - वास्तव में अधिकांश औसत उपयोगकर्ताओं के लिए एक मुद्दा नहीं है, हाँ मैं bashमैक ओएस एक्स 10.9.5 पर निम्न कमांड चला सकता हूं:
env x='() { :;}; echo vulnerable' bash -c 'echo hello'
और मैं यह देखता हूं:
vulnerable
hello
अंदाज़ा लगाओ? यह केवल भयानक है अगर आप तर्कसंगत रूप से यह नहीं सोचते हैं। मैं पहले से ही अपने मैक में लॉग इन किया गया था यहां तक कि टर्मिनल खोलने के लिए। और ऊपर दिए गए SSH के बारे में मैंने जो कहा, उसे नकारने के लिए, यहां तक कि मैं इस परीक्षण को चला सकता हूं, भले ही SSH सक्षम हो, फिर भी मुझे शुरू करने के लिए लॉग इन करना होगा। और फिर कहते हैं कि मैं SSH के माध्यम से पहुँच प्राप्त करता हूँ — कमांड मुझे अपने सामान्य उपयोगकर्ता अधिकारों जैसे कि पिछले कुछ भी करने की अनुमति नहीं देता है:
env x='() { :;}; echo vulnerable' bash -c 'cat /etc/ssh_host_rsa_key'
मतलब अगर आप वास्तव में इस हैक द्वारा शोषित होने के लिए असुरक्षित हैं, तो सिस्टम पर आपकी मुख्य सुरक्षा को इतना समझौता करना होगा कि जिस तथ्य bashमें दोष है वह वास्तव में आपके मुद्दों से बहुत कम है।
यह एक समग्र नियंत्रण और अधिकार के मुद्दे से एक चिंता का विषय है क्योंकि संभावित मानदंडों के बाहर व्यवहार के विस्तार के बाद से अनपेक्षित पहुंच की अनुमति देने की क्षमता है। लेकिन मेरी विनम्र राय में, यह ओपनएसएसएल या बगीचे की विविधता के बराबर नहीं है "मुझे मेरी स्क्रीन पर टैप किए गए नोट पर अपना पासवर्ड छोड़ने दें" जोखिम।
दिन के अंत में मैं अभी भी अपने सभी लिनक्स / यूनिक्स सर्वरों को पैच कर रहा हूं जिन्हें मैं मानक प्रक्रिया के रूप में चलाता हूं। और ठीक से बाहर हो जाने पर मैं मैक को खुशी से पैच कर दूंगा। लेकिन दिन-प्रतिदिन के व्यावहारिक उपयोग के लिए मैं इस बारे में चिंता करना ठीक नहीं समझता क्योंकि मुझे समझ में नहीं आता है कि कैसे एक दोष जो उन्नत उपयोगकर्ता विशेषाधिकारों के लिए अनुमति नहीं देता है, कुछ भी जोड़ता है।
अद्यतन: Apple का आधिकारिक शब्द यहां पोस्ट किया गया है ; जोर मेरा:
Apple X के एक प्रवक्ता ने iMore को बताया , "OS X के अधिकांश उपयोगकर्ताओं को हाल ही में बश भेद्यता का खतरा नहीं है," कमजोर सिस्टम का नियंत्रण। ओएस एक्स के साथ, सिस्टम डिफ़ॉल्ट रूप से सुरक्षित हैं और बैश के दूरस्थ कारनामों के संपर्क में नहीं आते हैं जब तक कि उपयोगकर्ता उन्नत यूनिक्स सेवाओं को कॉन्फ़िगर नहीं करते हैं।
हम अपने उन्नत यूनिक्स उपयोगकर्ताओं के लिए शीघ्रता से एक सॉफ्टवेयर अपडेट प्रदान करने के लिए काम कर रहे हैं। "
अनुवाद: क्या मैंने ऊपर कहा कि यह एक सर्वर समस्या है और ग्राहक समस्या नहीं है? ठीक ठीक।
एक अंतिम विवरण: स्रोत से संकलन के साथ संघर्ष कर रहे किसी के लिए, 29 सितंबर तक, Apple ने आधिकारिक तौर पर मैक ओएस एक्स 10.9.5, 10.8.5 के साथ-साथ 10.7.5 के लिए पैच जारी किए हैं:
YET ANOTHER FINAL UPDATE: और अब, Apple ने आज ही एक संयोजन सुरक्षा अद्यतन जारी किया है जिसमें bashअद्यतन भी शामिल है !
नोट: सुरक्षा अपडेट 2014-005 में ओएस एक्स बैश अपडेट 1.0 की सुरक्षा सामग्री शामिल है