Сведения об обновлении среды Bash 1.0 для OS X

В этом документе описываются проблемы безопасности, устраняемые в обновлении среды Bash 1.0 для OS X.

Это обновление можно загрузить с веб-сайта службы поддержки Apple.

В целях защиты клиентов компания Apple не разглашает информацию о проблемах безопасности, не подтверждает и не участвует в ее обсуждении до тех пор, пока не будет полностью завершено изучение соответствующей проблемы и не будут опубликованы все необходимые исправления и выпуски. Дополнительные сведения об обеспечении безопасности продуктов Apple см. на странице Обращение в Apple по поводу проблем с безопасностью или конфиденциальностью.

Информацию об обеспечении безопасности продуктов Apple с помощью PGP-ключа см. в статье Использование PGP-ключа безопасности продуктов Apple.

Если возможно, для ссылки на дополнительную информацию об уязвимостях используются идентификаторы CVE.

Сведения о других обновлениях системы безопасности см. в статье Обновления системы безопасности Apple.

Обновление интерпретатора bash 1.0 для OS X

• Bash

  Целевые продукты: OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5

  Воздействие. В определенных конфигурациях удаленный злоумышленник может выполнять произвольные команды shell.

  Описание. При обработке переменных среды Bash возникала ошибка. Проблема устранена путем улучшения процесса обработки переменных среды методом более точного определения конца оператора функции.

  В это обновление также включено рекомендуемое изменение CVE-2014-7169, которое возвращает анализатор в исходное состояние.

  Кроме того, это обновление добавляет новое пространство имен для экспортированных функций путем создания декораторов функции с целью предотвратить случайную транзитную пересылку заголовков в Bash. Чтобы предотвратить случайную пересылку функций через заголовки HTTP, имена всех переменных среды, представляющих определение функции, должны иметь префикс __BASH_FUNC< и суффикс >().

  Идентификатор CVE

  CVE-2014-6271: Stephane Chazelas

  CVE-2014-7169: Tavis Ormandy