지위
Apple은 Shellshock 및 관련 취약점에 대한 Bash 보안 픽스를 " OS X bash Update 1.0 "으로 출시했습니다 . OS X Mountain Lion v10.8.5 또는 OS X Mavericks v10.9.5 ( 보안 업데이트 2014-005에 포함됨 )를 사용하는 사람들을 위해 일반 시스템 업데이트를 통해 설치할 수 있으며 수동으로 설치할 수도 있습니다. 공식 Apple 픽스는 OS X Lion v10.7.5 및 OS X Lion Server v10.7.5에서도 사용 가능하지만 수동 다운로드를 통해서만 제공됩니다. 보안 수정 사항은 운영 체제 버전에 따라 다른 URL을 통해 사용 가능합니다.
(새 패치가 릴리스 된 경우 여기에 배치하되 참조 할 수 있도록 기존 패치를 보관하십시오.)
Apple 패치는 Shellshock 및 기타 여러 가지 취약점을 해결하며 대부분의 사람들에게 적합합니다. tl; dr 사람들은 여기서 읽기를 중단 할 수 있습니다.
그러나 Shellshock 버그로 인해 bash가 주목 받게되면서 많은 연구자들이 bash를 열심히 살펴보고 점점 더 많은 (취약하기 어려운) 취약점이 발견되었습니다. 공개적으로 사용 가능한 웹 사이트를 호스팅하기 위해 OS X Server를 실행하고 있기 때문에 보안에 대해 크게 우려하는 경우 bash를 직접 컴파일하여 취약점과 패치를 계속 유지하려고 할 수 있습니다. 그렇지 않으면 걱정하지 마십시오.
먼지가 더 많은 취약점을 찾는 데 어려움을 겪을 때 Apple이 또 다른 업데이트를 발표 할 예정인지 확인하십시오.
CVE-2014-6271 및 CVE-2014-7169를 수정하는 Bash 3.2, 패치 52, 53 및 54 (Bash 4.3 패치 25, 26 및 27에 해당)의 공식 bash 자체 패치를 사용할 수 있습니다. 아래에 '게임 오버'가 표시됩니다. 이것은 나 ( @alblue )에 의해 테스트되었으며 게시물이 그에 따라 업데이트되었습니다 (그리고 추가 업데이트가 이루어졌습니다 : 패치 54에서 멈추는 게시물의 개정 41 참조 ).
bash에 대해 많은 추가 취약점이보고되었습니다. Michal Zalewski의 게시물 에 따르면 패치 54 (그리고 아마도 Apple의 공식 패치)를 가지고 있다면 "이러한 개별 버그의 상태에 대해 집착 할 필요는 없습니다. 더 이상 보안 위험이 없어야합니다."
CVE-2014-6271-Stephane에서 발견 한 원본 RCE bash43-025 및 다른 버전의 해당 9 월 24 일 항목으로 수정되었습니다.
CVE-2014-7169-Tavis에서 파일 생성 / 토큰 소비 버그를 발견했습니다. bash43-026 & co에 의해 수정되었습니다 (9 월 26 일)
CVE-2014-7186-Florian과 Todd가 발견 한 위험이없는 10+ here-doc 충돌. bash43-028 & co (10 월 1 일)에 의해 수정되었습니다.
CVE-2014-7187-Florian이 발견 한 충돌하지 않는, 아마도 위험하지 않은 위험이 있습니다. bash43-028 & co (10 월 1 일)에 의해 수정되었습니다.
CVE-2014-6277-초기화되지 않은 메모리 문제, 거의 확실하게 Michal Zalewski가 RCE를 발견했습니다. 아직 특정 패치가 없습니다.
CVE-2014-6278-Michal Zalewski가 명령 주입 RCE를 찾았습니다. 아직 특정 패치가 없습니다.
꽤 혼란스러워집니다. 다행히도 공식적인 bash 관리자 인 Chet Ramey는 CVE와 패치 매핑을 게시했습니다 . 그의 게시물은 bash 4.3의 패치를 언급하며, I (@OldPro)는 OS X에 적용 가능한 bash 3.2의 패치로 변환했습니다. 또한이 포스트 이후로 패치 57을 릴리스했기 때문에 아래에 추가했습니다.
bash32-052 CVE-2014-6271 2014-09-24
bash32-053 CVE-2014-7169 2014-09-26
bash32-054 exported function namespace change 2014-09-27 ("Game Over")
bash32-055 CVE-2014-7186/CVE-2014-7187 2014-10-01
bash32-056 CVE-2014-6277 2014-10-02
bash32-057 CVE-2014-6278 2014-10-05
타임 라인과 자세한 내용은 David A. Wheeler의 게시물 을 참조하십시오 .
@alblue는 패치 55를 통해 빌드 지침을 게시했습니다. I (@OldPro)는 지침 56에 패치 56 및 57을 추가했지만 테스트하지는 않았습니다.
원래 취약점 테스트
이 테스트를 실행 하여 CVE-2014-6271 의 원래 문제에 취약한 지 확인할 수 있습니다 .
$ env x='() { :;}; echo vulnerable' bash -c 'echo hello'
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
hello
위 출력은 취약점이없는 bash버전 의 예입니다 . vulnerable해당 명령의 출력에 단어 가 표시되면 bash취약하므로 업데이트해야합니다. 다음은 OS X 10.8.5의 취약한 버전입니다.
새로운 취약점 테스트
가 발생했습니다 원래의 게시물에 대한 업데이 트 (1은) 여전히에 정의 된 취약점의 변화에 취약하고 배쉬 3.2.52 CVE-2014-7169
$ rm -f echo
$ env X='() { (a)=>\' sh -c "echo date"; cat echo
sh: X: line 1: syntax error near unexpected token `='
sh: X: line 1: `'
sh: error importing function definition for `X'
Thu 25 Sep 2014 08:50:18 BST
위 출력은 취약한 bash버전 의 예입니다 . 해당 명령의 출력에 날짜가 표시되면 bash취약한 것입니다.
"게임 오버"를 방지하기 위해 자동 가져 오기 기능 비활성화
연구원들은 취약점을 취약점으로 분류하지 않고 스크립트가 자동 가져 오기 기능을 사용하여 서브 쉘에서 기능을 가로 챌 수 있다고 지적했습니다.
$ env ls="() { echo 'Game Over'; }" bash -c ls
Game over
영향을받는 시스템의 위 코드 Game Over는 예상 디렉토리 목록 대신 표시 됩니다 ls. 분명히, echo 'Game Over'당신이 원하는 어떤 사악한 코드로 대체 될 수 있습니다. 이것은 "게임 오버"버그로 알려졌습니다.
패치 54를 사용하기 전에 NetBSD 와 FreeBSD 는 기본적으로 자동 가져 오기 bash 기능을 비활성화하여 부분적으로 "Game Over"를 방지하지만 파서 ( CVE-2014-7169 와 같은)에 추가 오류 가있을 수 있습니다. 계속 발견되고 새로운 명령 행 플래그가 추가되었습니다.--import-functions이전 기본 동작을 다시 활성화하십시오. 나 (@alblue)는 다른 사람들이이 동작을 채택하고 아래에 포함시키고 자 할 때 사용할 수있는 패치 (3.2.53)를 준비했습니다. 기본적으로이 패치는 아래 빌드 스크립트에서 활성화되어 있지 않습니다. 나 (@OldPro)는이 패치가 더 이상 필요하지 않거나 좋은 생각이라고 생각합니다. 하위 호환성을 손상시키고 패치로부터 보호하는 취약점은 패치 54 및 이전 패치에서 잘 해결되며이 비공식 패치를 활성화하면 향후 패치가 적용되지 않습니다 .
(질문 편집자 참고 사항 : 비공식 패치이므로 기본적으로 활성화하지 마십시오.)
a0c5c4d66742fddd0a35001cb91798a5fbf8a2f5 import_functions.patch
export ADD_IMPORT_FUNCTIONS_PATCH=YES빌드를 실행 하기 전에 실행하여 패치를 활성화 할 수 있습니다 . 향후 패치가 비공식 패치와 호환되지 않을 수 있으므로이 패치 를 활성화하면 패치 54 및 향후 패치가 비활성화 됩니다.
Apple Patch에는 Game Over 취약점이 있습니다.
트위터 에서 @ake_____가 지적한 것처럼 공식 Apple 패치는 여전히 실행 파일의 환경 복제에 취약합니다.
$ env '__BASH_FUNC<ls>()'="() { echo Game Over; }" bash -c ls
Game Over
사용자는 이것이 얼마나 중요한지 스스로 결정해야합니다. 나 (@OldPro)는 일반적으로 권한이없는 원격 공격자 가 환경 변수 의 이름 을 설정할 수없고 권한이있는 공격자가이 동작에 대한 알려진 악용이 없기 때문에 걱정할 필요가 없다고 생각합니다 (CVE 식별자도 제공 되지 않음). 이것을 사용하여 그들이 아직 가지고 있지 않은 권한을 얻습니다 (적어도 추가 취약점을 악용하지 않으면 서).
약간의 배경 지식을 제공하기 위해 bash를 사용하면 함수를 정의 할 수 있으며 명령을 통해 해당 함수 를 서브 쉘로 내보낼 수 있습니다 export -f. 이전에는 값을 함수 정의로 설정 한 함수와 이름이 같은 환경 변수를 작성하여 구현했습니다. 그래서
$ ls () { echo 'Game Over'; }
$ export -f ls
$ echo $ls
Game Over
export -f ls라는 환경 변수가 생성 되었기 때문에 발생했습니다 ls. "게임 오버"취약점은 함수를 먼저 정의하지 않고도이 환경 변수를 직접 만들 수 있다는 것입니다. 즉, 올바른 변수 이름을 삽입 할 수 있으면 명령을 가로 챌 수 있습니다. Apple은 올바른 이름으로 변수를 작성하기 어렵게하여이 문제를 해결하려고했습니다. 공식 bash 패치 54는 실제로 변수 이름에 %허용되지 않는 문자 를 포함하여 변수 이름을 사용하여 올바른 이름으로 변수를 작성하는 것을 불가능하게하며 , 내 보낸 함수 정의를 다른 예약 된 네임 스페이스에 효과적으로 넣습니다.
위의 어느 것도 당신에게 의미가 없다면 걱정하지 마십시오. 지금은 Apple 패치를 사용하는 것이 좋습니다.
시스템 바이너리
OS X 10.9.5 (현재 최신 안정 릴리스)는 Bash v3.2.51과 함께 제공됩니다.
$ bash --version
GNU bash, version 3.2.51(1)-release (x86_64-apple-darwin13)
Copyright (C) 2007 Free Software Foundation, Inc.
Xcode가 설치되어 있고 라이센스를 수락하기 전에 적어도 한 번 실행 한 경우 다음과 같이 Bash 를 확보하고 다시 컴파일 할 수 있습니다 xcodebuild.
$ # If you want to disable auto-imported functions, uncomment the following
$ # export ADD_IMPORT_FUNCTIONS_PATCH=YES
$ mkdir bash-fix
$ cd bash-fix
$ curl https://opensource.apple.com/tarballs/bash/bash-92.tar.gz | tar zxf -
$ cd bash-92/bash-3.2
$ curl https://ftp.gnu.org/pub/gnu/bash/bash-3.2-patches/bash32-052 | patch -p0
$ curl https://ftp.gnu.org/pub/gnu/bash/bash-3.2-patches/bash32-053 | patch -p0
$ # See note above about ADD_IMPORT_FUNCTIONS_PATCH
$ [ "$ADD_IMPORT_FUNCTIONS_PATCH" == "YES" ] && curl http://alblue.bandlem.com/import_functions.patch | patch -p0
$ [ "$ADD_IMPORT_FUNCTIONS_PATCH" == "YES" ] || curl https://ftp.gnu.org/pub/gnu/bash/bash-3.2-patches/bash32-054 | patch -p0
$ [ "$ADD_IMPORT_FUNCTIONS_PATCH" == "YES" ] || curl https://ftp.gnu.org/pub/gnu/bash/bash-3.2-patches/bash32-055 | patch -p0
$ [ "$ADD_IMPORT_FUNCTIONS_PATCH" == "YES" ] || curl https://ftp.gnu.org/pub/gnu/bash/bash-3.2-patches/bash32-056 | patch -p0
$ [ "$ADD_IMPORT_FUNCTIONS_PATCH" == "YES" ] || curl https://ftp.gnu.org/pub/gnu/bash/bash-3.2-patches/bash32-057 | patch -p0
$ cd ..
$ # Note: DO NOT ADD SUDO TO XCODEBUILD HERE
$ xcodebuild
$ build/Release/bash --version # GNU bash, version 3.2.57-release
$ build/Release/sh --version # GNU bash, version 3.2.57-release
$ sudo cp /bin/bash /bin/bash.old
$ sudo cp /bin/sh /bin/sh.old
$ sudo cp build/Release/bash /bin
$ sudo cp build/Release/sh /bin
(참고 : 위의 코드 블록을 복사하여 붙여 넣은 다음 터미널로 이동 한 다음 실행 하여이 작업을 수행 할 수 있습니다 pbpaste | cut -c 2- | sh. 인터넷에서 임의의 스크립트를 실행할 때는 항상주의하십시오 ...)
그런 다음 Bash 버전은 v3.2.57이어야합니다.
$ bash --version
GNU bash, version 3.2.57-release (x86_64-apple-darwin13)
Copyright (C) 2007 Free Software Foundation, Inc.
보안을 유지하고 테스트를 마친 후에 chmod -x는 이전 버전이 재사용되지 않도록하거나 백업 사이트로 옮기는 것이 좋습니다.
$ sudo chmod a-x /bin/bash.old /bin/sh.old
다른 답변에는 MacPorts 또는 Homebrew를 사용하는 사람들을위한 솔루션이 있습니다. 이들은 문제를 해결하지 않고 추가 버전의 Bash 만 설치합니다. 구체적으로 업그레이드하려면 해당 답변을 참조하십시오.
감사
bash를 돌보고이 패치를 사용할 수있게 해준 Chet에게 감사합니다. 이에 대해 의견을 말하고 시간이 지남에 따라 개선 한 다른 모든 사람들에게 감사합니다.
이제 Apple은 실제 수정 사항을 발표했지만 여전히 유용 할 수 있습니다. Lion 및 up에 대한 픽스 만 릴리스했으며 공식 패치는 GNU bash 버전 3.2.53 (1)-릴리스 (x86_64-apple-darwin13)를 제공하지만 Game over 버그는 여전히 다소 취약합니다. 이 시점에서 3.2.57에 대해 자신의 Bash 버전을 다시 빌드하는 것은 잘못하지 않는 한 Apple 패치에 의존하는 것보다 안전합니다.
