Quel est le bug shellshock et comment le corriger sur os x

Heartbleed. Shellshock. Eh bien, nous avons appris les noms de ces bugs dangereux qui ressemblent à des titres de chansons de Taylor Swift. Heartbleed a touché pratiquement tous les sites Web. C’était un bogue notoire qui dormait depuis des années et bien que le correctif soit simple, il devait être mis en œuvre par chaque développeur.

Selon l'expert en sécurité, Robert Graham, Shellshock est plus gros que Heartbleed.

Je pense que je me suis trompé en disant que #shellshock était aussi gros que #heartbleed. C'est plus grand.

- () {:;} Robert Graham (@ErrataRob) 25 septembre 2014

En quoi consiste exactement ce bogue Shellshock et quel en est l'impact sur votre Mac? Parlons-en et de la solution.

Qu'est-ce que Shellshock?

Sous l'interface utilisateur graphique, le code est exécuté - des commandes qui exécutent des processus et vous fournissent la sortie à l'écran.

Dans Bash, l'interface de ligne de commande sous OS X, une chaîne de texte peut être stockée sous forme de variable. Les programmeurs transforment le texte en variables afin qu'ils n'aient pas à les taper encore et encore.

Par exemple, vous pouvez dire:

Z ='this is a long string of text'

Et plus tard, si vous dites echo $ Z, la ligne de commande insérera le texte à l'endroit souhaité. Ceci est censé être traité comme du texte et non comme une commande. Et c'est là que se trouve le bogue.

Dans la ligne de commande Bash utilisée par Linux et OS X, si vous tapez un certain caractère au début de la variable, vous pouvez le transformer en commande.

Le texte étant: () {:;};

Cela signifie que les commandes non approuvées par le système ou par le développeur, même les commandes bloquées en raison de leur nature malveillante ou perturbatrice, peuvent être exécutées si ce préfixe leur est attribué.

Shellshock (ou le bug Bash si nous sommes techniques) est limité aux systèmes UNIX. Signifiant OS X et Linux. Les utilisateurs Windows ne sont pas affectés par ce bogue.

Pour une explication plus technique, consultez l'excellente décomposition du bogue Shellshock par Vox. Vous pouvez également regarder la vidéo ci-dessous pour la même explication simple, avec un accent britannique.

Comment le bogue Shellshock vous affecte-t-il?

Directement, ce n'est pas le cas.

Toutefois, alors que les applications sous OS X s'exécutent en mode bac à sable, elles se parlent - pour déléguer des tâches à d'autres applications ou pour demander une fonctionnalité au niveau du système. Toute cette conversation se déroule sous forme de code, dans le terminal.

Au cours de l'un de ces échanges, une application peut ajouter le préfixe dans les guillemets et le transformer en commande. Ces commandes peuvent effacer votre ordinateur, le rendre inutilisable, copier le contenu de votre lecteur ou tout autre chose possible via la ligne de commande.

Comment patcher le bogue Shellshock

Heureusement, Apple a déclaré que seul un petit nombre d'utilisateurs d'OS X sont susceptibles de contracter le bogue Shellshock. Toutefois, si vous utilisez un Mac sous OS X Lion, Mountain Lion ou Mavericks, installez la mise à jour à partir des liens ci-dessous. Il n'y a pas encore de solution pour les utilisateurs de la bêta de Yosemite.

• Lion
• Lion de montagne
• Mavericks

La mise à jour de Mavericks n’est que de 3, 2 Mo et se présente sous la forme d’un fichier DMG. Le processus d'installation est simple et vous n'avez même pas besoin de redémarrer votre Mac.

C'est un programme d'installation de paquet standard dans un fichier DMG. Ouvrez le programme d'installation et appuyez plusieurs fois sur Suivant pour que la mise à jour soit installée.

C'est à peu près ça. Reste en sécurité.