Magazin [UPDATE] Shellshock - Mögliche Gefahren und Selbsttest für OSX-Nutzer

[Tobias Scholze]

Für Apple könnte diese Woche nicht schlechter laufen. Erst #jeansgate, anschließend die iOS 8.01 Aktualisierungspanne und nun auch noch ein Bash-Exploit namens "Shellshock". Doch was verbirgt sich hinter diesem martialischen Namen und in wie fern sind OSX-Benutzer davon betroffen? Kurz gesagt: Eher weniger - Vorsicht ist dennoch geboten.[prbreak][/prbreak]

​

Nach Heartbleed folgt nun "Shellschock" als große Bedrohung unixoider Betriebssysteme. Der Begriff ist wohl am Besten mit "posttraumatisches Belastungsstörung" zu übersetzen und enthält bereits die betroffene Komponente: Die Shell. Eventuell etwas weit hergeholt hiernach einen Angriffsvektor zu beschreiben. Dabei handelt es sich um eine von Red Hat Angestellten entdeckte Schwachstelle die es unter bestimmen Umständen ermöglicht, ungewollt Befehle von Unbekannten in der Shell - dem Terminal - ausführen zu lassen.

Nach Informationen von Tom's Hardware ist diese Schwachstelle weitaus verbreiteter als bei Heartbleed. Die Zitate "Unlike Heartbleed, which only affected a specific version of OpenSSL, this bash bug has been around for a long, long time." und "That means there are lots of old devices on the network vulnerable to this bug. The number of systems needing to be patched, but which won't be, is much larger than Heartbleed." von Robert Graham beschreiben das theoretische Ausmaß dieses Expliots. Tatsächlich wird es die meisten OSX-Benutzer wohl eher weniger treffen. Denn ein Angriff von Extern ist mit Shellshock nur möglich, wenn beispielsweise eine offene SSH-Session besteht oder man direkt korrumpierte Software auf dem Mac im Einsatz hat. Für Privatanwender ist dies eher ein sehr seltenes Szenario.

Ob der jeweilige Rechner von dieser Schwachstelle betroffen ist lässt sich gefahrlos mit dem Ausführen des folgenden Befehls im Terminal testen:

env x='() { :;}; echo vulnerable' bash -c "echo Shockschwerenot ein Exploit"​

Falls darauf ein "vulnerable" im Terminal erscheint, ist dieser Rechner noch verwundbar. Hierzu liefern bereits etliche Linux Distributionen entsprechende Patches aus. Apple lässt hiermit noch auf sich warten. Hoffentlich nicht mehr allzu lange. Auch für den Fall das jeder Hersteller einen Patch veröffentlicht gibt es die große Gefahr von nicht gewarteten Anlagen die noch lange ein Risiko für ganze Netzwerke darstellen könnten.

Bei einem solch pikanten Thema ist es hilfreich auf verschiedene Informationsquellen zu setzen. Anbei eine anfängliche Liste von Berichterstattungen zu diesem Thema.

• Wikipedia Artikel zur Unix-Shell (de)
• Security Blog Eintrag von Red Hat (en)
• Security Board von Stackoverflow (en)
• Tom's Hardware inklusive Interview mit Robert Graham (en)
• Artikel bei 9to5mac (en)
• Artikel bei Spiegel Online (de)
• Artikel bei heise Security (de) (Empfehlung)
• Artikel bei t3n (de)

Falls der Community weiterführende Links bekannt sind, bitte in die Kommentare schreiben. Somit hilft man gegenseitig eventuell das Gröbste abzuwenden.


UPDATE 25.09.2014
Wie etliche User von 9to5mac anmerken, scheint die derzeitige Entwicklerversion von Yosemite dagegen abgesichert zu sein.


UPDATE 30.09.2014
Unsere Community Mitglieder @Rastafari und @BenBuster haben darauf hingewiesen (Forum) wonach Apple nun einen entsprechenden Fix (Apple) für verschiedene OSX-Versionen zur Verfügung stellt. Danke euch!

 

[MacbookPro@Olli]

Nö, bin auch auf Yosemite DP8 und kann den Test supi ausführen. Lücke ist also vorhanden.

 

[Armpit]

Zu behaupten, dass "OSX-Benutzer davon betroffen? Kurz gesagt: Eher weniger - Vorsicht ist dennoch geboten." ist sehr gefährliches Halbwissen. Da man nun keine Trojaner oder ähnliches entwickeln muss, die Root Rechte brauchen.... Durch diese Lücke kann man als normaler User in der Shell Root Rechte bekommen: https://twitter.com/cnbrkbolat/status/514889775724363776

Der Nutzer muss nicht mehr, wie bei den ganzen "dummen" Trojanern sein Passwort eingeben...

 

[Pennywise81]

Ob der jeweilige Rechner von dieser Schwachstelle betroffen ist lässt sich gefahrlos mit dem Ausführen des folgenden Befehls im Terminal testen:

env x='() { :;}; echo vulnerable' bash -c "echo Shockschwerenot ein Exploit"​

Falls darauf ein "Shockschwerenot ein Exploit" im Terminal erscheint, ist dieser Rechner noch verwundbar.

Das ist so nicht richtig. Das "Shockschwerenot ein Exploit" erscheint immer. Wenn zusätzlich "vulnerable" ausgegeben wird, dann ist der Rechner verwundbar!

 

[OldCaligula]

Ich bin betroffen... was mache ich nun ....?

 

[Tobias Scholze]

@Pennywise81 du hast natürlich recht. Falsche Phrase eingefügt. *ausgebessert*
@ImpCaligula Nix. Als Entwickler kann ich nicht auf git und andere Shell-basierende Programme verzichten. Zähne zambeisen und durch.

 

[MacbookPro@Olli]

Das ist so nicht richtig. Das "Shockschwerenot ein Exploit" erscheint immer. Wenn zusätzlich "vulnerable" ausgegeben wird, dann ist der Rechner verwundbar!

Korrekt. Genau das ist auf Yosemite der Fall.

Ich bin betroffen... was mache ich nun ....?

Hoffen, dass Apple es noch in diesem Jahr patcht. Aktuell ist die Lücke ja sogar im Linux-Sektor nicht richtig gepatcht.

 

[Armpit]

Ich bin betroffen... was mache ich nun ....?

Die einzige Möglichkeit ist dir die aktuellen Version selbst zu bauen oder Macports zu verwednen... Allerdings haben auch die meisten gefixten Versionen noch Bugs: http://www.golem.de/news/bash-luecke-die-hintergruende-zu-shellshock-1409-109463.html

 

[iMerkopf]

Na großartig... Ein Mac ist schonmal angreifbar. Auf Golem.de (http://www.golem.de/news/bash-luecke-die-hintergruende-zu-shellshock-1409-109463.html) wird von einer "ursprünglichen" Sicherheitslücke gesprochen - damit meinen die vermutlich die Lücke in Unix selbst, oder?

Wenn das so wäre, dürfte das Terminal bei jedem User, bei dem das "vulnerable" erscheint, auch das da:

bash: X: line 1: syntax error near unexpected token `a'

bash: X: line 1: `'

bash: error importing function definition for `X'

gehackt

als Antwort ausspucken, wenn man das da:

test="() { echo Hello; }; echo gehackt" bash -c ""

ins Terminal eingibt - richtig?

...oder ist mein Mac jetzt ganz besonders betroffen bzw. sogar schon infiziert?



Edit:
Worauf muss ich demnächst denn besonders achten? Bin in einigen wirklich kleinen Privat-Foren unterwegs - und bei einigen weiß ich aus erster Hand, dass die sich die Sicherheitsvorrichtungen größerer Site-Betreiber schlicht nicht leisten können. Sollte ich erst mal gar nirgendwo hin?

 

[EinSkeptiker]

Nach kurzer Recherche habe ich einen Hinweis im Web gefunden, wie man die Shell neu kompilieren können soll, um das Problem damit zu beheben. Ich selber habs aber noch nicht ausprobiert, und bin mir aktuell auch nicht sicher, ob ich es tun soll/will.

Hier der Link:
http://apple.stackexchange.com/ques...e-remote-exploit-cve-2014-6271-and-cve-2014-7

 

[Wuchtbrumme]

wer homebrew benutzt, mache ein "brew update, brew upgrade, brew install bash" falls noch nicht geschehen. Wer es nicht benutzt: Jetzt ist eine gute Zeit, sich das anzugucken.

Update dauert grob hochgerechnet 30 Sekunden auf einem aktuellen Rechner und danach war die Bash automatisch im Pfad vorgelagert (eine potentiell verwundbare Binary liegt also immer noch im Apple-System, wird aber nicht mehr benutzt) und der Fehler behoben. Wenn die Herrschaften vom Debian-Projekt mal so fix (und schlau) gewesen wären, das beim Squeeze zu regeln. Dort muss man tatsächlich noch ein LTS-Repository einpflegen, von dem ich noch nie zuvor gehört habe. Man hätte ja auch auch einfach alle Squeeze-Verzeichnisse umbiegen können. Update ist ja Update und die Major-Branch bleibt eh gleich... Argh.

 

[-chrizz-]

"Für Apple könnte diese Woche nicht schlechter laufen."

Angesichts über 10 Millionen verkaufter iPhones eine gewagte These...

 

[martinb]

iMac 2007 mit 10.7.5 ist auch betroffen

 

[casi73]

Servus zusammen,
Yosemite ist wohl doch betroffen...

 

[Mitglied 87291]

Mein Macbook aus der Signatur mit 10.9.5 ist auch betroffen

 

[MacMac512]

Yosemite wie bereits gepostet auch.

Wer schon jetzt was dagegen tun will einfach folgende befehle in das Terminal eingeben:

ruby -e "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/master/install)"

brew update

brew upgrade bash

danach sollte der Test anders aussehen und kein vulnerable zu sehen sein.
Unter Yosemite läuft es somit.

 

[MacbookPro@Olli]

Ich denke, wir können kurz fassen: Alle OS X sind aktuell betroffen.

 

[beeker2.0]

Nö, bin auch auf Yosemite DP8 und kann den Test supi ausführen. Lücke ist also vorhanden.

Ist bei mir auch so.

 

[urehn]

Wer schon jetzt was dagegen tun will einfach folgende befehle in das Terminal eingeben:

Hab ich gemacht. Ergebnis:
---
/usr/local/Cellar/bash/4.3.25: 59 files, 7,4M
Uwes-iMac:~ urehn$ env x='() { :;}; echo vulnerable' bash -c "echo Shockschwerenot ein Exploit"
vulnerable
Shockschwerenot ein Exploit
---

???

 

[MacAlzenau]

Ich tipp einfach mal, daß diese Lösung nur funktioniert, wenn man Homebrew installiert hat.