Ya, Anda secara teknis rentan. Jadi, jika Anda merasa panik atau menagih klien yang panik selama beberapa jam kerja panik, lakukan saja!
Tetapi kenyataannya adalah kecuali Anda mengizinkan akses SSH dari koneksi jarak jauh atau server web yang menjalankan skrip sisi server, Anda tidak berisiko. Anda hanya benar-benar rentan jika seseorang yang tidak Anda kenal dapat mengakses mesin Anda dari jarak jauh & melakukannya dengan cara di mana perintah Bash dapat dieksekusi.
Berarti Mac desktop Anda — yang benar-benar tidak menjalankan aplikasi server apa pun — tidak berisiko besar. Saya mau makan beberapa "pai sederhana" di sini, tapi saya tidak berpikir mayoritas pengguna Mac di luar sana akan beresiko pada akhir hari.
Jadi masalah ini terutama menjadi perhatian administrator sistem pada server Mac OS X & Unix / Linux yang terpapar dunia, bukan pengguna desktop yang tidak mengaktifkan berbagi SSH.
Mungkin ada risiko tepi malware Mac atau virus diciptakan untuk mengeksploitasi risiko ini, tapi saya ragu.
EDIT: Dan hanya untuk menguraikan bagaimana masalah ini — menurut pendapat saya yang sederhana — tidak benar-benar masalah bagi sebagian besar pengguna rata-rata, ya saya dapat menjalankan perintah berikut dari bashpada Mac OS X 10.9.5:
env x='() { :;}; echo vulnerable' bash -c 'echo hello'
Dan saya melihat ini:
vulnerable
hello
Tebak apa? Itu hanya menakutkan jika Anda tidak memikirkannya secara rasional. Saya harus sudah masuk ke Mac saya untuk membuka Terminal. Dan untuk meniadakan apa yang saya katakan tentang SSH di atas, untuk sampai ke titik saya dapat menjalankan tes ini bahkan jika SSH diaktifkan, saya masih harus login terlebih dahulu. Dan kemudian — katakanlah saya mendapatkan akses melalui SSH — perintah tidak memungkinkan saya untuk melakukan APA SAJA melewati hak pengguna normal saya seperti ini:
env x='() { :;}; echo vulnerable' bash -c 'cat /etc/ssh_host_rsa_key'
Berarti jika Anda benar-benar rentan untuk dieksploitasi oleh peretasan ini, keamanan inti Anda pada sistem harus sangat dikompromikan sehingga fakta yang bashmemiliki kekurangan sebenarnya adalah masalah Anda.
Ini merupakan masalah dari masalah kontrol & hak secara keseluruhan karena hal tersebut berpotensi untuk memungkinkan akses yang tidak diinginkan karena perilaku tersebut meluas di luar norma yang diharapkan. Tetapi menurut pendapat saya yang sederhana, ini bukan risiko setara dengan OpenSSL atau variasi taman “biarkan saya meninggalkan kata sandi saya pada catatan yang direkam di layar saya” berisiko.
Pada akhirnya saya masih menambal semua server Linux / Unix yang saya jalankan sebagai prosedur standar. Dan dengan senang hati akan menambal Mac yang saya kelola setelah perbaikan selesai. Tetapi untuk penggunaan sehari-hari yang praktis saya merasa baik-baik saja tidak mengkhawatirkan hal ini karena saya tidak mengerti bagaimana cacat yang tidak memungkinkan untuk hak pengguna yang tinggi menambah apa pun.
UPDATE: Kata resmi dari Apple diposting di sini ; penekanan milikku:
“Sebagian besar pengguna OS X tidak berisiko terhadap kerentanan bash yang baru-baru ini dilaporkan,” kata juru bicara Apple kepada iMore. “Bash, shell perintah UNIX dan bahasa yang termasuk dalam OS X, memiliki kelemahan yang dapat memungkinkan pengguna yang tidak sah mendapatkan keuntungan dari jarak jauh. kontrol sistem yang rentan. Dengan OS X, sistem aman secara default dan tidak terkena eksploitasi bash jarak jauh kecuali pengguna mengkonfigurasi layanan UNIX canggih.
Kami sedang berupaya menyediakan pembaruan perangkat lunak dengan cepat untuk pengguna UNIX tingkat lanjut kami. "
Terjemahan: Apa yang saya katakan di atas tentang ini menjadi masalah server & bukan masalah klien? Persis.
FINAL UDPATE: Bagi siapa pun yang berjuang dengan kompilasi dari sumber, pada tanggal 29 September, Apple telah secara resmi merilis patch untuk Mac OS X 10.9.5, 10.8.5 serta 10.7.5:
BELUM UPDATE FINAL LAINNYA: Dan sekarang, Apple baru saja merilis pembaruan keamanan kombinasi hari ini yang mencakup bashpembaruan juga !
Catatan: Pembaruan Keamanan 2014-005 mencakup konten keamanan Pembaruan OS X bash 1.0