L’aggiornamento si può scaricare direttamente dal sito Apple, a questi indirizzi:
- Bash update 1.0 per OS X Mavericks
- Bash update 1.0 per OS X Mountain Lion
- Bash update 1.0 per OS X Lion
Il bug della shell Bash, scoperto la scorsa settimana, permette l’esecuzione di codice arbitrario grazie ad un particolare comportamento nell’interpretazione delle variabili d’ambiente.
Per sapere se il vostro Mac è vulnerabile, seguite le indicazioni di questo thread di Stack Exchange. Se non avete conoscenze sufficientemente avanzate per capire di cosa si parli in quella pagina, tranquillizzatevi: significa che difficilmente avrete attivato quei servizi avanzati (web server pubblico, condivisione SSH ecc…) che potrebbero davvero mettere a rischio il vostro sistema.
L’aggiornamento, in ogni caso, è consigliato a tutti quanti, per una maggiore sicurezza.
Installata ieri sera, riprovato il comando da terminale indicato nel thread di Stack Exchange, e la vulnerabilità pare essere rimasta…
Digitando “env x='() { :;}; echo vulnerable’ bash -c ‘echo hello'” nel terminale, il risultato è ancora “hello”
Quindi è a posto. Se è vulnerabile, compare vulnerable ;)
Ah, ok, ora ha senso: in un’altra discussione pareva dovesse comparire un messaggio di errore.
Su LifeHacker dicono che inserendo
env x='() { :;}; echo vulnerable’ bash -c “echo this is a test”
si dovrebbe ottenere questo se NON si è vulnerabili:
bash: warning: x: ignoring function definition attempt bash: error importing function definition for ‘x’ this is a test
Mentre se si è vulnerabili compare ovviamente
this is a test