OS X Bash 更新 1.0 发布以解决 Shellshock 安全漏洞

OS X Bash 更新 1.0

Apple 已为 Mac 用户发布了一个重要的安全更新,标记为 OS X Bash 更新 1.0。该更新解决了最近发现的 被称为“Shellshock” 的严重安全漏洞会影响 bash shell,这是 OS X 终端应用程序使用的默认 shell,建议所有用户安装,即使他们不使用终端应用程序 bash ,或 Mac 上的命令行。

下载非常小,大约 3.5MB,发行说明简单地指出“此更新修复了 bash UNIX shell 中的安全漏洞”。该安全补丁目前可作为 OS X Mavericks 10.9.5、OS X Mountain Lion 和 OS X Lion 的三个单独下载。 OS X Yosemite 公测版和开发者预览版的 bash 补丁尚不可用。

用户可以通过以下链接下载适合其 OS X 版本的 DMG 文件:

请注意,Mac 用户必须使用各自版本的最新版本才能安装更新。尽管是一个小更新,但最好快速备份在安装任何系统更新之前,您的 Mac 上装有 Time Machine 或您选择的备份软件。

目前,OS X Bash 更新只能通过 Apple 支持网站获得,但据推测在不久的将来也会通过 OS X 的软件更新机制发布。

虽然大多数 Mac 用户不太可能受到任何特定安全漏洞的影响,或者面临 Shellshock bash 漏洞的风险,但安装这样的关键安全补丁仍然是个好主意。 Apple 之前向 MacRumors 关于缺陷及其可能影响的对象:

“Bash 是 OS X 中包含的一种 UNIX 命令外壳和语言,它有一个弱点,可能允许未经授权的用户远程控制易受攻击的系统。使用 OS X,系统在默认情况下是安全的,除非用户配置高级 UNIX 服务,否则系统不会暴露于 bash 的远程攻击。我们正在努力为我们的高级 UNIX 用户快速提供软件更新。”

Apple 引用的“高级 UNIX 服务”大概是远程登录和 SSH 服务器,它允许远程管理,尽管用户仍然需要有效的登录才能访问 Mac,并且另一个理论上的攻击向量是通过可选的 OS X Apache 网络服务器,允许 Mac 用户直接从他们的 Mac 托管网页。同样,许多 Mac 用户不太可能面临风险,即使他们使用 OS X 的远程登录或 Web 服务器功能也是如此。

Mac OS X Snow Leopard 的 Bash 补丁怎么样?

对于运行 OS X 10.6.8 Snow Leopard 的 Mac 用户,您有几个选项可以给 bash 打补丁:

  • 您可以使用 gcc、自制软件或 MacPorts 手动安装最新版本的 bash
  • 您可以通过从 OS X Lion 版本中提取 pkg 文件并手动将新的 bash 版本复制到 Snow Leopard 来手动安装上述 Lion bash 补丁,或者修改 Distributions 文件以允许在 Snow Leopard 上安装

目前,Apple 并未发布 Snow Leopard 的官方 bash 补丁,这意味着 10.6 用户将需要自行安装新版本的 bash。