Beeinflusst der Shellshock-Fehler ZSH?

Nein, es wirkt sich nicht auf ZSH aus.

Sie MÜSSEN bash immer noch aktualisieren, da die meisten Systemskripts für bash geschrieben werden und anfällig für den Shellshock-Bug sind.

So testen Sie Ihren ZSH:

env x='() { :;}; echo vulnerable' zsh -c 'echo hello' 

Was genau macht dieser Code?

1. env x='() { :;}; echo vulnerable' erstellt eine Umgebungsvariable mit bekanntem Fehler mit dem Befehl am Ende der Variablen
2. zsh -c 'echo hello'startet die ZSH-Shell mit einem einfachen Hallo (und wertet alle Umgebungsvariablen einschließlich x aus )

Wenn Sie Ausgabe sehen:

vulnerable hello 

Dann ist Ihr ZSH verwundbar. Meines (5.0.2) ist nicht:

$ env x='() { :;}; echo vulnerable' zsh -c 'echo hello' hello 

Von diesem Link :

Sie können feststellen, ob Sie anfällig für das ursprüngliche Problem in CVE-2014-6271 sind, indem Sie diesen Test ausführen:

env x='() { :;}; echo vulnerable' bash -c 'echo hello' 

Wenn Sie das Wort in der Ausgabe dieses Befehls als anfällig betrachten, ist Ihre Bash anfällig und sollten Sie aktualisieren. Unten ist eine anfällige Version von OS X 10.8.5:

env x='() { :;}; echo vulnerable' bash -c 'echo hello' vulnerable hello 

Die folgende Ausgabe ist ein Beispiel für eine nicht anfällige Bash-Version.

$ env x='() { :;}; echo vulnerable' bash -c 'echo hello' bash: warning: x: ignoring function definition attempt bash: error importing function definition for `x' hello 

Die Binärdatei ist nicht betroffen

Es wirkt sich nicht auf zshdie ausführbare Shell-Datei aus, da der Quellcode nie den Fehler enthielt.
Es gibt viele Ähnlichkeiten zwischen bashund zsh, sie wurden jedoch unabhängig voneinander implementiert. Dasselbe Feature wird auf zwei verschiedene Arten implementiert und - was in diesem Zusammenhang wichtiger ist - in der Regel mit unterschiedlichen Fehlern.

Aber die interaktive Verwendung ist

Indirekt beeinflusst es das Arbeiten mit der zshShell in einem Terminal fast so sehr wie das Arbeiten mit bash.

Die Verwendung von bashist so verbreitet, dass man es kaum vermeiden kann, es zu nennen.

Zu viele Anwendungen zu vermeiden

• Skripte, die Sie kennen und erwarten zsh, aber tatsächlich enthalten bash.
• viele Shell-Skripte, #!/bin/bashdie bashals Interpreter verwendet werden.

• Viele Befehle, von denen Sie annehmen, dass sie Binärdateien sind, sind jedoch Shell-Skripts, von denen einige sie verwenden bash.

• An vielen Stellen, an denen eine Shell explizit ausgeführt wird, bashkann sie verwendet werden und ist möglicherweise erforderlich.

  • wie komplexe xargsBefehle oder gitAliase, die Argumente enthalten
  • Standardhüllen von Terminalemulatoren
  • Shell von Benutzern, denen Sie Sudo hinzufügen
  • usw.

Nein, Shellshock wirkt sich nicht direkt auf zsh aus.

In vielen Umgebungen, in denen zsh als Standardshell verwendet wird, ist jedoch auch bash installiert. Jede Shell, einschließlich zsh, kann verwendet werden, um eine kompromittierte Bash-Shell zu erzeugen:

zsh ❯ env X='() { (a)=>\' sh -c "echo date"; cat echo sh: X: line 1: syntax error near unexpected token `=' sh: X: line 1: `' sh: error importing function definition for `X' Fri 26 Sep 2014 12:05:57 BST 

Um dies zu verhindern, sollten Sie alle redundanten Versionen von bash patchen, deinstallieren oder deaktivieren. Sie können die System-Bash-Installation deaktivieren chmod:

$ chmod a-x /bin/bash 

Es ist jedoch üblich, dass Skripts bash explizit aufrufen. Skripts, die dies tun, und solche, die bash-spezifische Skriptfunktionen verwenden, schlagen fehl, wenn bash nicht verfügbar ist. Das Patchen ist die beste Lösung.