Apples OS X erhält Shellshock-Update - aber nicht per Auto-Update

Der Computer-Konzern Apple hat nun ein Sicherheits-Update für die letzten Versionen seines Betriebssystems OS X bereitgestellt, mit dem sich die als Shellshock bekannt gewordene Sicherheitslücke in der Unix-Shell Bash beheben lassen soll. Der Fehler in Bash ist schon sehr lange vorhanden, wurde aber erst vor Kurzem entdeckt. Dieser ermöglichte es einem Angreifer, einen Rechner per Fernzugriff komplett unter seine Kontrolle zu bringen. Gefährdet sind hier vor allem die zahlreichen Linux-Server, die Dienste im Internet bereitstellen. Als die Öffentlichkeit über Shellshock informiert wurde, tauchte bereits kurze Zeit später eine Malware auf, die aus ihnen ein Botnetz aufbaut.


Da Apples Betriebssystem OS X einen Unix-Unterbau besitzt, ist der Fehler auch hier zu finden. Allerdings sind die meisten Nutzer nicht unmittelbar gefährdet. Denn die Voraussetzungen, dass eine Malware von Außen einen Exploit durchführen kann, sind im Normalfall erst gegeben, wenn der Anwender zusätzliche Unix-Dienste aktiviert, die bei einer normalen Installation abgeschaltet sind.

Apple liefert den Patch derzeit nicht auf dem üblichen Weg der Software-Aktualisierung über den AppStore aus. Statt dessen ist es notwendig, das Update manuell herunterzuladen und zu installieren. Für die OS X-Versionen 10.7 "Lion", 10.8 "Mountain Lion" und 10.9 "Mavericks" stehen jeweils eigene Patches zur Verfügung. Für Systeme, die noch auf einer älteren Fassung des Betriebssystems laufen oder schon mit der Beta von 10.10 "Yosemite" ausgestattet sind, gibt es kein Update.

Warum Apple den Patch nicht über die Software-Aktualisierung ausspielt, wurde von dem Unternehmen nicht weiter kommentiert. Angesichts der vorherigen Aussagen über dessen Bedeutung scheint man es aber nicht für nötig zu halten, schnellstmöglich alle Anwender auf den neuesten Stand zu bringen. Es kann allerdings damit gerechnet werden, dass die Aktualisierung in das nächste größere Betriebssystem-Update eingespielt wird. Die erfolgreiche Installation erkennt man daran, dass die Versionsabfrage der Bash im Terminal ("bash --version") die Nummer 3.2.53(1) ausgibt.