Sí, eres técnicamente vulnerable. Entonces, si tiene ganas de entrar en pánico o facturar a un cliente en pánico por unas horas de trabajo de pánico, ¡adelante!
Pero la realidad es que a menos que permita el acceso SSH desde conexiones remotas o un servidor web que ejecute secuencias de comandos del lado del servidor, no está en riesgo. Solo eres realmente vulnerable si alguien que no conoces puede acceder de forma remota a tu máquina y hacerlo de manera que se pueda ejecutar un comando Bash.
Lo que significa que su Mac de escritorio, que realmente no ejecuta aplicaciones de servidor de ningún tipo, no corre ningún riesgo grave. Estoy dispuesto a comer un proverbial "humilde pastel" aquí, pero no creo que la mayoría de los usuarios de Mac estén en riesgo al final del día.
Por lo tanto, este problema preocupa principalmente a los administradores de sistemas en servidores Mac OS X y Unix / Linux expuestos al mundo, no a los usuarios de escritorio que no permiten el uso compartido de SSH.
Quizás exista un riesgo extremo de que se cree un malware o virus Mac para explotar este riesgo, pero lo dudo.
EDITAR: Y para explicar cómo este problema, en mi humilde opinión, no es realmente un problema para la mayoría de los usuarios promedio, sí, puedo ejecutar el siguiente comando desde bashMac OS X 10.9.5:
env x='() { :;}; echo vulnerable' bash -c 'echo hello'
Y veo esto:
vulnerable
hello
¿Adivina qué? Eso es aterrador si no piensas racionalmente en esto. Ya tenía que haber iniciado sesión en mi Mac para incluso abrir la Terminal. Y para negar lo que dije sobre SSH arriba, incluso para llegar al punto en que puedo ejecutar esta prueba, incluso si SSH está habilitado, para empezar aún tendría que haber iniciado sesión. Y luego, digamos que obtengo acceso a través de SSH, el comando no me permite hacer NADA más allá de mis derechos de usuario normales como este:
env x='() { :;}; echo vulnerable' bash -c 'cat /etc/ssh_host_rsa_key'
Lo que significa que si realmente eres vulnerable a ser explotado por este truco, tu seguridad principal en el sistema tendría que estar tan comprometida que el hecho de que bashtenga una falla es realmente el menor de tus problemas.
Esta es una preocupación de un problema general de control y derechos, ya que es el potencial para permitir el acceso no deseado ya que el comportamiento se extiende más allá de las normas esperadas. Pero en mi humilde opinión, no es un riesgo a la par con OpenSSL o los riesgos de la variedad de jardín "déjenme dejar mi contraseña en una nota pegada a mi pantalla".
Al final del día, todavía estoy reparando todos mis servidores Linux / Unix que ejecuto como procedimiento estándar. Y felizmente parchearé los Mac que administro una vez que se solucione el problema. Pero para el uso práctico del día a día, me siento bien sin preocuparme por esto, ya que no entiendo cómo una falla que no permite privilegios de usuario elevados se suma a cualquier cosa.
ACTUALIZACIÓN: Palabra oficial de Apple publicada aquí ; énfasis mío:
"La gran mayoría de los usuarios de OS X no están en riesgo de sufrir vulnerabilidades de bash recientemente informadas", dijo un portavoz de Apple a iMore. control de sistemas vulnerables. Con OS X, los sistemas son seguros por defecto y no están expuestos a explotaciones remotas de bash a menos que los usuarios configuren servicios avanzados de UNIX.
Estamos trabajando para proporcionar rápidamente una actualización de software para nuestros usuarios avanzados de UNIX ".
Traducción: ¿Lo que dije anteriormente sobre esto es un problema del servidor y no un problema del cliente? Exactamente.
Un UDPATE FINAL: Para cualquiera que tenga dificultades para compilar desde la fuente, a partir del 29 de septiembre, Apple ha lanzado oficialmente parches para Mac OS X 10.9.5, 10.8.5 y 10.7.5:
AÚN OTRA ACTUALIZACIÓN FINAL: ¡ Y ahora, Apple acaba de lanzar una actualización de seguridad combinada hoy que también incluye la bashactualización !
Nota: La Actualización de seguridad 2014-005 incluye el contenido de seguridad de OS X bash Update 1.0