状態
Appleは、Shellshockおよび関連する脆弱性に対するBashセキュリティ修正を「OS X bash Update 1.0」としてリリースしました。OS X Mountain Lion v10.8.5またはOS X Mavericks v10.9.5（Security Update 2014-005に含まれています）を使用しているユーザー向けの通常のシステムアップデートでインストールできます。また、手動でインストールすることもできます。公式のAppleの修正プログラムは、OS X Lion v10.7.5およびOS X Lion Server v10.7.5でも利用できますが、これらは手動ダウンロードでのみ入手できます。セキュリティ修正プログラムは、オペレーティングシステムのバージョンに基づいて異なるURLから入手できます。
（新しいパッチがリリースされた場合、ここにそれらを入れますが、これらの既存のパッチも参照用に保管してください。）
Appleパッチは、Shellshockおよびその他のいくつかの脆弱性を処理し、ほとんどの人にとっては問題ありません。tl; dr人はここで読むのをやめることができます。
ただし、Shellshockバグによってbashに注目が集まったため、多くの研究者がbashを厳重に調査し、ますます（悪用しにくい）脆弱性が発見され続けています。セキュリティを非常に心配している場合（OS X Serverを実行して公開されているWebサイトをホストしている可能性があるため）、自分でbashをコンパイルすることにより、脆弱性とパッチが追いついてくるのを追いかけることができます。それ以外の場合は、心配しないでください。
Appleが別のアップデートをリリースして、将来、さらなる脆弱性の発見に落ち着くときにbashすることを期待してください。
bash 3.2用のbash自体のパッチの公式セット、パッチ52、53、および54（Bash 4.3パッチ25、26、および27に対応）が利用可能であり、CVE-2014-6271とCVE-2014-7169の両方を修正します。下に表示される「ゲームオーバー」も同様です。これは私（@alblue）によってテストされ、それに応じて投稿が更新されました（そして、追加の更新が行われました：パッチ54で停止する投稿についてはリビジョン41を参照してください）。
bashに対する多くの追加の脆弱性が報告されています。Michal Zalewskiの投稿によると、パッチ54（およびおそらくAppleの公式パッチ）がある場合、「これらのバグはセキュリティリスクを引き起こさないはずなので、これらの個々のバグのステータスに執着する意味はありません。」
CVE-2014-6271-ステファンが発見した元のRCE。他のバージョンのbash43-025および対応する9月24日のエントリによって修正されました。
CVE-2014-7169-ファイル作成/トークン消費のバグがTavisによって発見されました。bash43-026およびcoにより修正（9月26日）
CVE-2014-7186-フロリアンとトッドによって発見された、おそらく何もリスクのない10以上のhere-docクラッシュ。bash43-028＆co（10月1日）で修正。
CVE-2014-7187-フロリアンによって発見された、クラッシュしない、おそらく秒リスクなしのオフバイワン。bash43-028＆co（10月1日）で修正。
CVE-2014-6277-初期化されていないメモリの問題、ほぼ確実にMichal Zalewskiが発見したRCE。特定のパッチはまだありません。
CVE-2014-6278-Michal Zalewskiが発見したコマンドインジェクションRCE。特定のパッチはまだありません。
かなり混乱します。幸いなことに、公式のbashメンテナーであるChet Rameyは、パッチマッピングにCVEを投稿しました。彼の投稿はbash 4.3のパッチに言及していますが、私（@OldPro）はそれらをOS Xに適用可能なbash 3.2のパッチに翻訳しました。また、この投稿以来、彼はパッチ57をリリースしました。
bash32-052 CVE-2014-6271 2014-09-24
bash32-053 CVE-2014-7169 2014-09-26
bash32-054 exported function namespace change 2014-09-27 ("Game Over")
bash32-055 CVE-2014-7186/CVE-2014-7187 2014-10-01
bash32-056 CVE-2014-6277 2014-10-02
bash32-057 CVE-2014-6278 2014-10-05
タイムラインと詳細については、David A. Wheelerの投稿を参照してください。
@alblueは、パッチ55を通じてビルド手順を投稿しました。I（@OldPro）は、手順にパッチ56および57を追加しましたが、テストしていません。
元の脆弱性のテスト
次のテストを実行することにより、CVE-2014-6271の元の問題に対して脆弱かどうかを判断できます。
$ env x='() { :;}; echo vulnerable' bash -c 'echo hello'
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
hello
上記の出力は、脆弱性のないbashバージョンの例です。vulnerableそのコマンドの出力に単語が表示されている場合bashは脆弱であり、更新する必要があります。以下は、OS X 10.8.5の脆弱なバージョンです。
新しい脆弱性のテスト
元の投稿に更新があり、Bash 3.2.52（1）は、CVE-2014-7169で定義された脆弱性のバリエーションに対して依然として脆弱です。
$ rm -f echo
$ env X='() { (a)=>\' sh -c "echo date"; cat echo
sh: X: line 1: syntax error near unexpected token `='
sh: X: line 1: `'
sh: error importing function definition for `X'
Thu 25 Sep 2014 08:50:18 BST
上記の出力は、脆弱なbashバージョンの例です。そのコマンドの出力に日付が表示される場合、bash脆弱です。
「ゲームオーバー」を防ぐために自動インポートされた機能を無効にする
研究者は、脆弱性として分類せずに、スクリプトが自動インポート関数を使用してサブシェルの関数をハイジャックする可能性があることに注意しました。
$ env ls="() { echo 'Game Over'; }" bash -c ls
Game over
影響を受けるシステム上の上記のコードは、Game Over予想されるディレクトリ一覧の代わりに表示されlsます。明らかに、echo 'Game Over'あなたが望むどんな邪悪なコードでも置き換えることができます。これは「ゲームオーバー」バグとして知られるようになりました。
パッチ54が利用可能になる前は、NetBSDとFreeBSDの両方がデフォルトで自動インポートbash機能を無効にしており、一部は「ゲームオーバー」を防ぐためでしたが、主にパーサーにさらなるエラー（CVE-2014-7169など）を含めるためです発見され続け、新しいコマンドラインフラグを追加しました--import-functions古いデフォルトの動作を再度有効にします。私（@alblue）は、他の人がこの動作を採用したい場合に使用するパッチ（3.2.53に対する）を準備し、それを以下に含めました。デフォルトでは、このパッチは以下のビルドスクリプトで有効になっていません。私（@OldPro）は、このパッチはもはや必要ではないか、良いアイデアだと考えています。下位互換性を壊し、それが保護する脆弱性はパッチ54以前のパッチで非常によく対処され、この非公式パッチを有効にすると将来のパッチが適用されないためです。
（質問編集者への注意。これは非公式のパッチであるため、デフォルトでは有効にしないでください。）
a0c5c4d66742fddd0a35001cb91798a5fbf8a2f5 import_functions.patch
パッチを有効export ADD_IMPORT_FUNCTIONS_PATCH=YESにするには、ビルドを実行する前に実行します。このパッチを有効にすると、パッチ54および将来のパッチが無効になることに注意してください。将来のパッチは非公式のパッチとの互換性を保証できないためです。
Apple PatchにはGame Over脆弱性があります
Twitterの@ake_____が指摘したように、公式のAppleパッチは実行可能ファイルの環境破壊に対して依然として脆弱です。
$ env '__BASH_FUNC<ls>()'="() { echo Game Over; }" bash -c ls
Game Over
ユーザーは、これがどれほど重要かを自分で決める必要があります。私（@OldPro）は、一般的に非特権リモート攻撃者は環境変数の名前を設定できず、特権を持つ攻撃者はできないため、この動作に対する既知のエクスプロイトがないため、心配する必要はないと思います（CVE識別子も与えられていませんでした）これを使用して、まだ持っていない特権を取得します（少なくとも追加の脆弱性を利用しない限り）。
背景を少し説明するために、bashでは関数を定義でき、さらにコマンドを使用してそれらの関数をサブシェルにエクスポートできますexport -f。これは、関数定義に値が設定された関数と同じ名前の環境変数を作成することで実装されていました。そう
$ ls () { echo 'Game Over'; }
$ export -f ls
$ echo $ls
Game Over
これは、export -f lsという名前の環境変数を作成したために発生しましたls。「ゲームオーバー」の脆弱性は、最初に関数を定義することなく、この環境変数を直接作成できることでした。つまり、正しい変数名を注入できれば、コマンドをハイジャックできます。Appleは、正しい名前の変数を作成するのを難しくすることで、これを修正しようとしました。公式のbashパッチ54 %は、変数名に許可されていない文字を含む変数名を使用して、正しい名前の変数を作成することを実際に不可能にし、エクスポートされた関数定義を別の予約済み名前空間に効果的に配置します。
上記のいずれにも意味がない場合は、心配しないでください。今のところAppleのパッチは問題ありません。
システムバイナリ
OS X 10.9.5（現時点で最新の安定版リリース）は、Bash v3.2.51に同梱されています。
$ bash --version
GNU bash, version 3.2.51(1)-release (x86_64-apple-darwin13)
Copyright (C) 2007 Free Software Foundation, Inc.
Xcodeがインストールされている（およびライセンスを受け入れる前に少なくとも1回実行している）場合、次のようにBash を取得して再コンパイルできますxcodebuild。
$ # If you want to disable auto-imported functions, uncomment the following
$ # export ADD_IMPORT_FUNCTIONS_PATCH=YES
$ mkdir bash-fix
$ cd bash-fix
$ curl https://opensource.apple.com/tarballs/bash/bash-92.tar.gz | tar zxf -
$ cd bash-92/bash-3.2
$ curl https://ftp.gnu.org/pub/gnu/bash/bash-3.2-patches/bash32-052 | patch -p0
$ curl https://ftp.gnu.org/pub/gnu/bash/bash-3.2-patches/bash32-053 | patch -p0
$ # See note above about ADD_IMPORT_FUNCTIONS_PATCH
$ [ "$ADD_IMPORT_FUNCTIONS_PATCH" == "YES" ] && curl http://alblue.bandlem.com/import_functions.patch | patch -p0
$ [ "$ADD_IMPORT_FUNCTIONS_PATCH" == "YES" ] || curl https://ftp.gnu.org/pub/gnu/bash/bash-3.2-patches/bash32-054 | patch -p0
$ [ "$ADD_IMPORT_FUNCTIONS_PATCH" == "YES" ] || curl https://ftp.gnu.org/pub/gnu/bash/bash-3.2-patches/bash32-055 | patch -p0
$ [ "$ADD_IMPORT_FUNCTIONS_PATCH" == "YES" ] || curl https://ftp.gnu.org/pub/gnu/bash/bash-3.2-patches/bash32-056 | patch -p0
$ [ "$ADD_IMPORT_FUNCTIONS_PATCH" == "YES" ] || curl https://ftp.gnu.org/pub/gnu/bash/bash-3.2-patches/bash32-057 | patch -p0
$ cd ..
$ # Note: DO NOT ADD SUDO TO XCODEBUILD HERE
$ xcodebuild
$ build/Release/bash --version # GNU bash, version 3.2.57-release
$ build/Release/sh --version # GNU bash, version 3.2.57-release
$ sudo cp /bin/bash /bin/bash.old
$ sudo cp /bin/sh /bin/sh.old
$ sudo cp build/Release/bash /bin
$ sudo cp build/Release/sh /bin
（注：上記のコードブロックをコピーして貼り付け、ターミナルに移動して実行することでこれを実行できますpbpaste | cut -c 2- | sh。ただし、インターネットからランダムスクリプトを実行するときは常に注意してください...）
この後、Bashバージョンはv3.2.57になります。
$ bash --version
GNU bash, version 3.2.57-release (x86_64-apple-darwin13)
Copyright (C) 2007 Free Software Foundation, Inc.
セキュリティのため、およびテスト後chmod -x、古いバージョンを再利用しないように、またはバックアップサイトに移動するために古いバージョンを使用することをお勧めします。
$ sudo chmod a-x /bin/bash.old /bin/sh.old
他の回答には、MacPortsまたはHomebrewを使用している人向けのソリューションがあります。これらは問題を解決しません。Bashの追加バージョンをインストールするだけです。これらを具体的にアップグレードする場合は、それらの回答を参照してください。
ありがとう
bashを管理し、これらのパッチを提供してくれたChetに感謝します。これについてコメントし、時間の経過とともに改善してくれたすべての人に感謝します。
Appleは実際の修正をリリースしましたが、これはまだ有用かもしれません。ただし、Lion以降の修正プログラムのみをリリースし、公式パッチはGNU bashバージョン3.2.53（1）-release（x86_64-apple-darwin13）を提供するため、ゲームオーバーバグは依然として多少脆弱です。この時点で、3.2.57に対するBashの独自バージョンの再構築は、間違って行わない限り、おそらくAppleのパッチに依存するよりも安全です。
