Magazin [UPDATE] Shellshock - Mögliche Gefahren und Selbsttest für OSX-Nutzer

[Rastafari]

Die einzige Möglichkeit ist dir die aktuellen Version selbst zu bauen oder Macports zu verwednen

Relativ sinnlos.
Die über die Befehlszeile interaktiv aufrufbare Shell ist nur eine von mehreren im System. Der fehlerhafte Code steckt auch in launchd (so wie früher auch schon in init), in diversen Produkten von "Fremdanbietern", und am schlimmsten: sogar im Kernel selbst.
Böses Aua. Grosses Aua. Schlimmes Aua. Auf Tsunami-Level (schon wieder einer...)

Wenn mir das nächste mal irgendein n00b vom angeblichen Sicherheitsvorsprung von OSS durch "many eyes" und "ständige Kontrolle der Community" erzählen will, dann sollte er sich vorher dicke Ohrenschützer aufsetzen. Der Fehler existiert schon länger als es Linux gibt, und diese Sourcen sind inzwischen öfter gegengelesen worden als die Lutherbibel. Hat hier (mal wieder) genau gar nichts bewirkt, die Wirksamkeit dieser Methodik bleibt damit effektiv bei Null. Ein religiöses Hirngespinst.

 

[urehn]

Ich tipp einfach mal, daß diese Lösung nur funktioniert, wenn man Homebrew installiert hat.

Hab ich! Und es ist auch nicht das erste Mail, dass ich über Homebrew was installiere/update ...

 

[iMerkopf]

Schon länger, als es Linux gibt? Wow... Ist denn überhaupt abschätzbar, welche Systeme bzw. Distributionen betroffen sind? Es kann doch nicht sämtliche Unix- und GNU/Linux-OSs betreffen, die je erschienen sind - ohne, dass jemals jemand etwas gemerkt hätte? Und wenn doch: Warum kommt es erst und ausgerechnet jetzt raus? Hab ich da was falsch verstanden?

 

[architektenwerk]

The Safe Mac erklärt die Problematik ebenfalls lesenswert gut:
http://www.thesafemac.com/what-does-the-shellshock-bug-affect/

 

[simmac]

@Rastafari:
Da muss ich zumindest teilweise zustimmen! Ich bin Fan von OSS, und glaube schon, dass Security through obscurity funktioniert, auch dass OSS in einigen Fällen die Sicherheit erhöhen kann, aber eben nicht immer.
Heartbleed und Shellshock sind eben ein Beweis dafür.
Dafür hat OSS auch ganz andere Vor- und Nachteile.


Dass bash vor Linux veröffentlicht wurde, musste ich selbst überprüfen, aber du hast recht, da ist ein Jahr dazwischen.
Aber alles vor meiner Zeit.

 

[MacAlzenau]

Was ist OSS?
Ich kenne da einen Geheimdienst aus dem Zweiten Weltkrieg, CIA-Vorläufer, den gibt es aber schon lange nicht mehr.

 

[martinv2]

Open Source Software

 

[Rastafari]

CIA-Vorläufer, den gibt es aber schon lange nicht mehr.

Das OSS wurde nie aufgelöst.
Es wurde nur 1974 von Maxwell Smart in Frischhaltefolie eingewickelt und im Atlantik versteckt. Das geheime Hauptquartier befindet sich seit den 90ern auf der angeblichen "Forschungsstation ISS" in der Erdumlaufbahn. Von dort aus werden die Nazis auf der Rückseite des Mondes ständig mit Nachschub an Sauerkraut und frischen Pornoheftchen versorgt.

 

[prostetnik]

iMac 2007 mit 10.7.5 ist auch betroffen

Es sind alle Systeme betroffen die bash im Terminal als Standard-Shell definiert haben, weil der Fehler nicht im Betriebssystem liegt, sondern in der Anwendung "bash".

Da bash der Quasi-Standard für die "Eingabeaufforderung" aller unixoiden Systeme ist, sind das fast alle Unix, Linux und OS X Systeme.

Hoffe das da möglichst bald ein Update kommt.

Frage an die Terminal Profis:
Kann man in der die Standard-Shell ändern, sodass bash nicht mehr verwendet wird? Wenn ja wie kompliziert ist das?

 

[hillepille]

Aktuell ist die Lücke ja sogar im Linux-Sektor nicht richtig gepatcht.

Für Centos 6.5 gab es gestern schon Patches.

 

[Rastafari]

die Standard-Shell ändern, sodass bash nicht mehr verwendet wird? Wenn ja wie kompliziert ist das?

Da die bash und die rudimentärste aller Bourneshells sh, die du einfach haben *musst* (ein muss mit drei !!!), in Wirklichkeit nichts anderes als ein und das selbe Programm sind (häufig sogar als zwei Hardlinks auf die gleiche Datei realisiert) - da würde ich lieber anfangen mich an Herztransplantationen zu versuchen.

 

[prostetnik]

Danke für die Info

 

[Heidi Daus]

Ich finde es mal gerade erschreckend, wie wenige Leute sich anscheinend für diese gravierende Sicherheitslücke interessieren. Also gemessen an den Kommentaren hier.
Aber wenn mal 9 iPhones verbogen sind machen alle eine Welle.

Habe ich das richtig verstanden, ich kann eigentlich nur abwarten bis der Bash Bug von Apple gefixt wird. Oder kann ich irgendetwas tun um die Sicherheit, zumindest vorübergehend, zu erhöhen?


Sent by me!

 

[forenwalter]

Bei Bluewin wurde der Link unten wegen einer Sicherheitslücke veröffentlicht .
Was ist den genau das Problem ?

http://www.bluewin.ch/de/news/wirts...luecke--bash--bedroht-millionen-apple--u.html

 

[F0X1786]

Was ist den genau das Problem ?

Dass bash ungeprüften Code aus den Umgebungsvariablen ausführt.

 

[tiny]

Ich bin hier zumindest eine interessierte Mitleserin, Heidi. Da ich nicht durchblicke, was da genau abgeht, verfolge ich (und wahrscheinlich viele Andere) die postings hier.
Wenn ich als interessierte (aber unwissende) Nutzerin nachschauen möchte, ob ich ein Problem hab' dann weis ich jetzt ehrlichgesagt nicht so genau was ich tun müsste. Einfach einen Befehl in meine Adressleiste eingeben ist mir zu unklar, weil ich nicht genau weis, was dann passiert (oder passieren kann).
Die postings hier sind ja von Profis. Und ich möchte schon wissen, was ich tue, wenn ich was tue

Aber hier mal ein Dankeschön an die Poster!

 

[Heidi Daus]

Ich bin ja auch kein Pro was die ganze Terminal Geschichte angeht und das muss man ja auch nicht unbedingt sein. Aber wenn ich sehe das in mittlerweile drei Threads hunderte Kommentare zu einem angeblichen "Bendgate" eingehen, sich aber hier "keiner" für zu interessieren scheint finde ich das schon seltsam.
Mann muss ja keine Ahnung von Terminal befehlen haben um sich hier hin zu stellen und zu sagen: "Was kann ich/muss ich tun um meinen Mac zu schützen".


Sent by me!

 

[raven]

ch finde es mal gerade erschreckend, wie wenige Leute sich anscheinend für diese gravierende Sicherheitslücke interessieren. Also gemessen an den Kommentaren hier.

Da irrst du dich wahrscheinlich. Denn wer nicht Profi wie z.B @Rastafari und noch ein paar User bei AT sind, die werden mitlesen und nichts dazu beitragen können. Aber dankbar sein, dass man die Problematik schildert und Infos bekommt.

 

[joeMJ]

Könnten wir mal auf die schnelle ein funktionierendes Angriffsszenario entwerfen, welches einen typischen Mac-User betrifft?

Derzeit sieht es für mich wie folgt aus: Ich benötige einen erreichbaren Dienst jener schlecht abgesichert ist, oder eine bereits vorhandene Malware auf einem Angriffsziel (welche vermutlich eh mit den erforderlichen Rechten ausgestattet ist) und habe es durch die Lücke in Bash lediglich einfacher, eine privilege escalation zu erreichen. Ist dem nicht so, habe ich primär kein Problem, auch wenn die Lücke weiterhin existent ist, korrekt?

 

[simmac]

Oder kann ich irgendetwas tun um die Sicherheit, zumindest vorübergehend, zu erhöhen?

Einen offiziellen Patch von Apple gibt es laut der noch nicht, ein inoffizieller Patch lässt sich nach folgender Anleitung installieren: Stackexchange Thread - klicken
Wie immer gilt bei Skripten aus dem Internet: VORSICHT! TUT NUR DAS, WO IHR WISST, WAS IHR TUT!