OS XのShellshockの対応 Appleからbashのアップデート公開

Shellshock

UNIX系OSの多くで標準搭載されているbash(Bourne Again Shell)に凄くヤバい脆弱性が発見されたことは多くの方が既に知っていることと思います(米国時間の2014年9月24日)。

そもそも「shellやbashって何?」ピンとこないですよね。簡単にshell(シェル)の役割を説明すると、ユーザーが入力したコマンドを解釈してOS(カーネル)に伝える。bashはそのshellの中の一種です。

それでshellを使って何ができるの?と聞かれるのですが、スキルあれば大抵のことはできると思います。そんな色んなことのできるshellが、リモートから悪用されてしまう可能性があるというのですから一大事です。

Shellshockはshellの一種であるbashの脆弱性のことですから、UNIX系OSのOS Xにも含まれています。Appleの見解は、「ほとんどのOS Xユーザーは安全」ということのようですが、念には念をいれておいた方がいいですよね。

bash脆弱性チェック

bashをアップデートする前に、現在のbashバージョンや脆弱性のチェックをやってみます。チェックなんかいいよ。手っ取り早くアップデートだけやりたいという方は、OS X Marvericksのbashアップデートを見てください。

OS Xにはアプリケーション -> ユーティリティの中にターミナルというアプリケーションがインストールされています。このターミナルを使ってチェックすることができます。ターミナルを起動して、以下のコマンドを入力します。
bash –version
GNU bash, version 3.2.51(1)-release (x86_64-apple-darwin13)
Copyright (C) 2007 Free Software Foundation, Inc.

次に、bashの脆弱性チェックをするスクリプトを以下のコマンドでダウンロードします。
curl -O https://raw.githubusercontent.com/hannob/bashcheck/master/bashcheck
ダウンロードしたスクリプトを実行します。

sh bashcheck
-e Vulnerable to CVE-2014-6271 (original shellshock)
-e Vulnerable to CVE-2014-7169 (taviso bug)
-e Not vulnerable to CVE-2014-7186 (redir_stack bug)
-e Vulnerable to CVE-2014-7187 (nested loops off by one)
-e Variable function parser still active, likely vulnerable to yet unknown parser bugs like CVE-2014-6277 (lcamtuf bug)

OS X Marvericksのbashアップデート

OS X Mavericks用のbashアップデートファイルがAppleのサポートサイトで配布されているので、ダウンロードしてアップデートすることができます。OS X bash Update 1.0 – OS X Mavericks

アップデート後に再度bashの脆弱性チェックを行うと、以下のようになると思います。
bash –version
GNU bash, version 3.2.53(1)-release (x86_64-apple-darwin13)
Copyright (C) 2007 Free Software Foundation, Inc.

sh bashcheck
-e Not vulnerable to CVE-2014-6271 (original shellshock)
-e Not vulnerable to CVE-2014-7169 (taviso bug)
-e Not vulnerable to CVE-2014-7186 (redir_stack bug)
-e Vulnerable to CVE-2014-7187 (nested loops off by one)
-e Variable function parser inactive, likely safe from unknown parser bugs

常に情報が変化していますので、注視しておかないといけませんね。

関連記事一覧

  1. この記事へのコメントはありません。