OS X bash アップデート 1.0 について

OS X bash アップデート 1.0 のセキュリティコンテンツについて説明します。

このアップデートは、Apple サポートの Web サイトからダウンロードできます。

Apple では、ユーザ保護の観点から、完全な調査が終了して必要なパッチやリリースが利用可能になるまではセキュリティ上の問題を公開、説明、または是認いたしません。Apple 製品のセキュリティについては「Apple 製品のセキュリティ」Web サイトを参照してください。

Apple Product Security PGP キーについては、こちらの記事を参照してください。

CVE ID を使って脆弱性を調べることもできます。

その他のセキュリティアップデートについては、こちらの記事を参照してください。

OS X bash アップデート 1.0

  • Bash

    対象 OS：OS X Lion v10.7.5、OS X Lion Server v10.7.5、OS X Mountain Lion v10.8.5、OS X Mavericks v10.9.5

    影響：特定の構成において、リモートの攻撃者により任意のシェルコマンドを実行される可能性がある。

    説明：Bash による環境変数の解析処理に脆弱性がありました。この問題は、関数ステートメントの末尾の検出精度を高め、環境変数の解析を改善することで解決されました。

    このアップデートには、CVE-2014-7169 の推奨される訂正も組み込まれています。この訂正により、パーサーがリセットされるようになります。

    さらに、関数デコレータを作成することで、エクスポートされた関数用の新しい名前空間を追加し、Bash への意図しないヘッダのパススルーを回避しています。意図しない関数が HTTP ヘッダに渡ることを回避するため、関数定義を渡すすべての環境変数の名前には、プレフィックスとして「__BASH_FUNC<」、サフィックスとして「>()」を使用する必要があります。

    CVE-ID

    CVE-2014-6271：Stephane Chazelas

    CVE-2014-7169：Tavis Ormandy

Apple が製造していない製品に関する情報や、Apple が管理または検証していない個々の Web サイトについては、推奨や承認なしで提供されています。Apple は他社の Web サイトや製品の選択、性能、使用に関しては一切責任を負いません。Apple は他社の Web サイトの正確性や信頼性についてはいかなる表明もいたしません。詳しくは各メーカーや開発元にお問い合わせください。

公開日：