Mac มีช่องโหว่ต่อ Bash shellshock bug หรือไม่

58

Red Hat เพิ่งประกาศข้อผิดพลาดที่เกี่ยวข้องกับความปลอดภัยที่สำคัญในเปลือก Bash บางคนเรียกมันว่าข้อผิดพลาด "shellshock" เนื่องจาก OS X ถูกสร้างขึ้นจาก Unix มันมีความเสี่ยงต่อการโจมตีที่ใช้ประโยชน์จากข้อบกพร่องนี้หรือไม่?

ในฐานะผู้ใช้ปลายทางฉันต้องกังวลเกี่ยวกับการแก้ไขทันทีหรือไม่? หรือมันจะดีกว่าสำหรับฉันที่จะรอการอัปเดตซอฟต์แวร์อย่างเป็นทางการจาก Apple?

macos security bash

— เรือใบ
แหล่งที่มา

1

ดูเพิ่มเติมที่apple.stackexchange.com/questions/146849/…

— nohillside

หากต้องการดูว่าการกระทำใดที่ส่งผลต่อ OSX ให้ดูที่security.stackexchange.com/questions/68123/…

— user151019

อัปเดตคำถามดังนั้นจึงเป็นเรื่องของดักจับและขอคำแนะนำสำหรับคนธรรมดาน้อยกว่า

— hairboat

1

Apple ได้เผยแพร่การแก้ไขแล้ว: support.apple.com/kb/DL1769

— AT

46

ใช่คุณมีความเสี่ยงทางเทคนิค ดังนั้นหากคุณรู้สึกอยากตื่นตระหนกหรือเรียกเก็บเงินจากลูกค้าที่ตื่นตระหนกในช่วงเวลาที่ตื่นตระหนกไม่กี่ชั่วโมงไปเลย!

แต่ความจริงคือถ้าคุณไม่อนุญาตการเข้าถึง SSH จากการเชื่อมต่อระยะไกลหรือเว็บเซิร์ฟเวอร์ที่รันสคริปต์ฝั่งเซิร์ฟเวอร์คุณจะไม่เสี่ยง คุณมีความเสี่ยงที่แท้จริงหากบุคคลที่คุณไม่รู้จักสามารถเข้าถึงเครื่องของคุณจากระยะไกล & ทำเช่นนั้นในลักษณะที่คำสั่ง Bash สามารถดำเนินการได้

หมายความว่าเดสก์ท็อป Mac ของคุณซึ่งไม่ได้รันแอพพลิเคชั่นเซิร์ฟเวอร์ใด ๆ จริง ๆ ไม่มีความเสี่ยงร้ายแรง ฉันยินดีที่จะกิน“ ความอ่อนน้อมถ่อมตน” ที่นี่ แต่ฉันไม่คิดว่าผู้ใช้ Mac ส่วนใหญ่จะมีความเสี่ยงในตอนท้ายของวัน

ดังนั้นปัญหานี้จึงเป็นเรื่องที่ผู้ดูแลระบบส่วนใหญ่กังวลเกี่ยวกับเซิร์ฟเวอร์ Mac OS X & Unix / Linux ที่เปิดเผยต่อโลกไม่ใช่ผู้ใช้เดสก์ท็อปที่ไม่เปิดใช้งานการแบ่งปัน SSH

อาจมีความเสี่ยงจากมัลแวร์ Mac หรือไวรัสที่ถูกสร้างขึ้นเพื่อใช้ประโยชน์จากความเสี่ยงนี้ แต่ฉันสงสัย

แก้ไข:และเพื่ออธิบายรายละเอียดว่าปัญหานี้เป็นอย่างไรในความเห็นที่ต่ำต้อยของฉัน - ไม่ใช่ปัญหาสำหรับผู้ใช้ทั่วไปส่วนใหญ่ใช่ฉันสามารถเรียกใช้คำสั่งต่อไปนี้จากbashบน Mac OS X 10.9.5:

env x='() { :;}; echo vulnerable' bash -c 'echo hello'

และฉันเห็นสิ่งนี้:

vulnerable
hello

คาดเดาอะไร นั่นเป็นสิ่งที่น่ากลัวมากหากคุณไม่ได้คิดอย่างมีเหตุผล ฉันต้องลงชื่อเข้าใช้ Mac แล้วเพื่อเปิด Terminal และลบล้างสิ่งที่ฉันพูดเกี่ยวกับ SSH ด้านบนเพื่อให้ได้ถึงจุดที่ฉันสามารถเรียกใช้การทดสอบนี้แม้ว่า SSH เปิดใช้งานฉันจะยังคงต้องเข้าสู่ระบบเพื่อเริ่มต้นด้วย และจากนั้น - สมมุติว่าฉันได้รับการเข้าถึงผ่าน SSH - คำสั่งไม่อนุญาตให้ฉันทำสิ่งใด ๆ ที่ผ่านมาสิทธิ์ผู้ใช้ปกติของฉันเช่นนี้:

env x='() { :;}; echo vulnerable' bash -c 'cat /etc/ssh_host_rsa_key'

หมายความว่าถ้าคุณเสี่ยงต่อการถูกแฮกโดยแฮกนี้ความปลอดภัยหลักของคุณในระบบจะต้องถูกโจมตีดังนั้นความจริงที่ว่าbashมีข้อบกพร่องนั้นเป็นปัญหาที่น้อยที่สุดของคุณ

นี่เป็นข้อกังวลจากปัญหาการควบคุมและสิทธิ์โดยรวมเนื่องจากเป็นโอกาสที่จะอนุญาตการเข้าถึงโดยไม่ตั้งใจเนื่องจากพฤติกรรมขยายออกไปนอกบรรทัดฐานที่คาดไว้ แต่ในความเห็นที่ต่ำต้อยของฉันมันไม่ใช่ความเสี่ยงที่เท่าเทียมกับ OpenSSL หรือความหลากหลายของสวน“ ให้ฉันปล่อยรหัสผ่านของฉันไว้ในบันทึกที่ติดไว้ที่หน้าจอของฉัน” ความเสี่ยง

ในตอนท้ายของวันฉันยังคงปรับปรุงเซิร์ฟเวอร์ Linux / Unix ทั้งหมดของฉันฉันเรียกใช้เป็นขั้นตอนมาตรฐาน และจะมีการปะแก้แม็คที่ฉันจัดการอย่างมีความสุขเมื่อการแก้ไขหมดไป แต่สำหรับการใช้งานแบบวันต่อวันฉันรู้สึกดีไม่ต้องกังวลเกี่ยวกับเรื่องนี้เพราะฉันไม่เข้าใจว่าข้อบกพร่องที่ไม่อนุญาตสำหรับสิทธิ์ผู้ใช้ที่ผ่านการยกระดับนั้นเพิ่มขึ้นเป็นอะไร

อัพเดท:คำอย่างเป็นทางการจาก Apple โพสต์ที่นี่ ; เหมืองเน้น:

“ ผู้ใช้ OS X ส่วนใหญ่ไม่มีความเสี่ยงที่จะรายงานช่องโหว่ทุบตีเมื่อเร็ว ๆ นี้”โฆษกของ Apple บอกกับ iMore” Bash ซึ่งเป็นเชลล์คำสั่ง UNIX และภาษาที่รวมอยู่ใน OS X มีจุดอ่อนที่อาจทำให้ผู้ใช้ที่ไม่ได้รับอนุญาต การควบคุมระบบที่มีช่องโหว่ ด้วย OS X ระบบจะปลอดภัยโดยค่าเริ่มต้นและไม่ได้รับผลกระทบจากการโจมตีระยะไกลเว้นแต่ผู้ใช้จะกำหนดค่าบริการ UNIX ขั้นสูง เรากำลังดำเนินการเพื่อให้การอัปเดตซอฟต์แวร์อย่างรวดเร็วสำหรับผู้ใช้ UNIX ขั้นสูงของเรา”

การแปล: สิ่งที่ฉันพูดข้างต้นเกี่ยวกับเรื่องนี้เป็นปัญหาของเซิร์ฟเวอร์ไม่ใช่ปัญหาของลูกค้า เผง

FINAL UDPATE:สำหรับทุกคนที่พยายามรวบรวมจากแหล่งข้อมูล ณ วันที่ 29 กันยายน Apple ได้ออกแพทช์อย่างเป็นทางการสำหรับ Mac OS X 10.9.5, 10.8.5 และ 10.7.5:

ยังอัปเดตครั้งสุดท้ายอีกครั้ง:และตอนนี้ Apple เพิ่งเปิดตัวอัปเดตความปลอดภัยแบบผสมในวันนี้ซึ่งรวมถึงการbashอัปเดตด้วย !

หมายเหตุ: การอัปเดตความปลอดภัย 2014-005 รวมเนื้อหาความปลอดภัยของ OS X bash Update 1.0

— JakeGould
แหล่งที่มา

7

"หรือเว็บเซิร์ฟเวอร์ที่รันสคริปต์ฝั่งเซิร์ฟเวอร์" - หรือมีแอปพลิเคชันทำงานอยู่ฟังพอร์ตเปิดที่ทำให้การเรียก RPC นั้นสิ้นสุดลงด้วยการใช้คำสั่งเชลล์ นี่อาจเป็นจำนวนเท่าใดก็ได้เนื่องจากมีแอปพลิเคชั่นมาตรฐานมากมายที่ใช้ RPC ฉันคิดว่าคำตอบนี้ไร้เดียงสามาก มันง่ายมากที่จะ "เรียกใช้เว็บเซิร์ฟเวอร์" โดยไม่ได้ตั้งใจในระหว่างการใช้งานแอปพลิเคชันที่ทำบางสิ่งบางอย่างกับไคลเอนต์เซิร์ฟเวอร์

— Ian C.

3

@IanC คุณช่วยยกตัวอย่างที่จุดด้อยของ OS X ได้หรือไม่? ตัวอย่างเช่นบางสิ่งเช่น WebEx หรือ GotoMeeting จะเข้าใกล้ความสามารถของ Bash หรือไม่ ประเด็นที่ฉันไม่สามารถนึกถึงสถานการณ์สมมติแบบติดตั้งบน OS X ธรรมดาที่จะเปิดเผยสิ่งต่าง ๆ อย่างแท้จริง คุณสามารถ?

— JakeGould

8

บัญชีบุคคลทั่วไปไม่สามารถใช้ได้กับ ssh ในความเป็นจริงมันเป็นไปไม่ได้ที่จะทำให้สามารถใช้งานได้กับ ssh, IIRC ความจริงก็คือสำหรับผู้ใช้ OS X ส่วนใหญ่ช่องโหว่ของ bash นั้นไม่ใช่ปัญหาเลย สำหรับพวกเราที่เป็นปัญหาเราจำเป็นต้องคอมไพล์ bash ใหม่ทันทีที่การแก้ไขที่ทดสอบพร้อมใช้งาน แต่นั่นไม่ใช่ตอนนี้

— lbutlr

3

@IanC โอเคตัวอย่างที่ยุติธรรม แต่คุณยังขาดประเด็น: ใครจะใช้ช่องโหว่ดังกล่าวในทุกตัวอย่างที่คุณให้ได้อย่างไร ในแต่ละกรณีผู้ใช้จะต้องเข้าถึงระบบเพื่อเริ่มต้นด้วย & จากนั้นคืออะไร ฉันไม่ได้เป็นคนคล่องแคล่วในเรื่องนี้ แต่ฉันก็ยังไม่เข้าใจว่าความเสี่ยงนั้นจะเป็นอย่างไร ตัวอย่างเช่นบางคนต้องเวิร์มผ่าน Plex API เพื่อทำสิ่งที่ถูกต้องในการทุบตีเพื่อทำอะไรบางอย่างที่นอกเหนือจากสิทธิ์ผู้ใช้ปกติและสิทธิ์การเข้าถึง?

— JakeGould

6

@danielAzuelos “ทุกคนมีความเสี่ยงตราบใดที่บัญชีของผู้เข้าพักเป็นแบบเปิด: [!”บัญชี Guest bashมีอะไรจะทำอย่างไรกับ ดังนั้นความกลัวจึงขึ้นอยู่กับว่าอะไรกันแน่? นอกจากนี้แม้ว่าบัญชีผู้เยี่ยมชมจะเปิดbashอยู่ แต่ก็ใช้งานได้แล้วอะไรล่ะ? จากสิ่งที่ฉันเห็นการใช้ประโยชน์จากการโกงนี้จะไม่มีสิทธิ์ยกระดับหรืออะไรก็ตามที่ใกล้เคียง อย่างจริงจังฉันยินดีที่จะถอยกลับจากท่าทางของฉัน แต่ดูเหมือนว่าจะตื่นตระหนกมากขึ้นอยู่กับไม่มากในขณะที่ OpenSSL เป็นปัญหาจริง

— JakeGould

37

ใช่

พิมพ์สิ่งนี้ในเปลือกของคุณ

env x='() { :;}; echo vulnerable' bash -c 'echo hello'

ถ้ามันบอกว่าvulnerableคุณมีความเสี่ยง

ถ้ามันบอกว่า

bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
hello

ถ้างั้นคุณก็เป็นคนดี

แก้ไข: ลิงก์ไปยังการแก้ไข

— คริส Aitchison
แหล่งที่มา

4

ขอบคุณ ฉันอัปเดตคำถาม - หากเราพบว่าเรามีช่องโหว่ผู้ใช้ Mac จะแก้ไขได้อย่างไร

— hairboat

3

@abbyhairboat โพสต์คำตอบของฉัน เว้นแต่ว่าคุณกำลังใช้งานเซิร์ฟเวอร์ที่สัมผัสกับโลกภายนอกจะไม่มีความเสี่ยงในทางปฏิบัติ ผู้ดูแลเซิร์ฟเวอร์เป็นคนที่ต้องกังวลเกี่ยวกับเรื่องนี้

— JakeGould

1

→แอ๊บบี้: โปรดดูคำตอบที่เกี่ยวข้อง: apple.stackexchange.com/a/146851/22003

— แดน

2

ลองสิ่งนี้env X="() { :;} ; echo busted" /bin/sh -c "echo completed"- แม้หลังจากการปะแก้ระบบของฉันแล้วอันนี้ก็จะ 'จับ' ในบรรทัดคำสั่ง Bah

— Trane Francks

1

@ ทำเครื่องหมายไม่ได้, zsh ปลอดภัย คุณต้องแทนที่ "bash -c" ด้วย "zsh -c" เพื่อทดสอบ

— ismail

3

ในฐานะผู้ใช้ปลายทางให้ตรวจสอบว่า:

บัญชีเกสต์ของคุณปิดอยู่:

ค่ากำหนดของระบบ> ผู้ใช้ & กลุ่ม> ผู้ใช้ทั่วไป

การsshเข้าถึงของคุณปิดอยู่:

การตั้งค่าระบบ> การแชร์> การเข้าสู่ระบบระยะไกล

โดยค่าเริ่มต้นสิ่งเหล่านี้จะปิดที่ Mavericks

ในฐานะผู้ใช้ปลายทางจะปลอดภัยกว่าหากรอการอัปเดตความปลอดภัยอย่างเป็นทางการของ Apple เพื่อแก้ไขbashช่องโหว่นี้

— แดน
แหล่งที่มา

1

สิ่งเหล่านี้ไม่เกี่ยวข้อง อย่างใดอย่างหนึ่งตามลักษณะของพวกเขาให้สิทธิ์ผู้ใช้ในการเรียกใช้คำสั่งในระบบดังนั้นหากคุณเปิดใช้งานพวกเขาเป็นความตั้งใจของคุณที่จะอนุญาตให้ผู้ใช้เรียกใช้คำสั่ง ข้อผิดพลาดของ Shellshock เป็นวิธีการสำหรับผู้ใช้ที่คุณไม่ต้องการเรียกใช้คำสั่งเพื่อให้สามารถทำได้ EG ผู้ใช้ของเว็บเซิร์ฟเวอร์ที่คุณใช้งาน ดังนั้นคำตอบของคุณควรจะพูดว่า "ปิดเว็บร่วมกัน" ( แต่นั่นเป็นเพียงสิ่งเดียวที่จะตรวจสอบ)

— จอช

ฉันรำคาญที่ Apple ไม่แนะนำให้ปิดการตั้งค่าเหล่านั้น ใครจะเปิดใช้งานพวกเขา ฉันจะ ฉันเป็นผู้ใช้ Mac ตั้งแต่ปี 1986 ผู้พัฒนาโปรแกรมประยุกต์บนเว็บแบบเต็มเวลา (ดังนั้น ssh คือชีวิตของฉัน) และพ่อ (ดังนั้นบัญชี Guest สำหรับเด็ก ๆ จึงไม่ใช่ความคิดที่เลวร้าย) ฉันรู้ว่าผู้คนมากมายที่เป็นเหมือนฉันในรูปแบบเหล่านี้ที่ใช้แล็ปท็อป Apple ต้องการที่จะสูญเสียเรา? การเปิดช่องโหว่นี้เป็นวิธีที่ดี

— minopret

2

เครื่อง Mac OS X ทั้งหมดนั้นมีความเสี่ยงทางเทคนิคที่จะ“ Shellshock” จนกว่า Apple จะออกการปรับปรุงความปลอดภัยที่แพทช์ทุบตี แต่ ..

คำถามของคุณควรเป็น: ฉันสามารถถูกแฮ็กจากระยะไกลได้หรือไม่

มีซอฟต์แวร์มากมายที่ใช้แบบbashไม่สนใจที่จะตอบคำถามนั้นยากมาก หากคุณกังวลแล้วฉันขอแนะนำการเปลี่ยนแปลงหลายประการSystem Preferencesเพื่อป้องกันการหาประโยชน์จากระยะไกล:

ปิดใช้งานบริการแบ่งปันทั้งหมดภายใต้การตั้งค่าการแชร์
เปิดใช้งานไฟร์วอลล์ภายใต้ความปลอดภัยและความเป็นส่วนตัว

หากคุณกังวลเป็นพิเศษให้กดปุ่มFirewallตัวเลือกเพื่อ:

Automatically allow signed software to receive incoming connectionsยกเลิกการเลือก
Block all incoming connectionsตรวจสอบ

ยังมีโอกาสที่น่านับถือที่คุณเสี่ยงต่อการถูกโจมตีระดับโดยใช้ DHCP, Bonjour ฯลฯ แต่เฮ้หากคุณต้องการบริการอื่นจากนั้นคุณสามารถปล่อยให้มันทำงานได้ในขณะที่คุณหวังว่ามันจะไม่ถูกโจมตี และคุณจะต้องเปิดไฟร์วอลล์ทิ้งไว้เช่นกัน อาจเป็นไปได้ถ้าคุณใช้เครื่องหลังไฟร์วอลล์ตัวอื่น

นอกจากนี้ยังมีการเปิดใช้งานการโจมตีการเลื่อนระดับสิทธิ์ในท้องถิ่นโดย“ Shellshock หรือไม่” ใช่เกือบแน่นอน ฉันไม่ต้องกังวลเพราะ Mac OS X มีการโจมตีที่คล้ายกันมากพอ Apple ไม่ได้แก้ไขข้อบกพร่องการเพิ่มระดับสิทธิ์แบบโลคัลอย่างรวดเร็ว และ Apple สร้างบ่อยครั้งด้วยบริการที่เปิดใช้งาน Apple Script เพียงแค่สมมติว่าเครื่อง Mac OS X ทั้งหมดมีความเสี่ยงต่อการโจมตีในเครื่องอยู่เสมอ หากคุณต้องการเข้าร่วมการประชุมแฮกเกอร์เช่น DEFCON ซื้อกล่อง Linux ด้วยตัวคุณเองเพื่อจุดประสงค์นั้น

อัปเดต:มีคำแนะนำสำหรับการคอมไพล์ bash คงที่ของคุณเองและคำถามอื่น ๆ ที่ครอบคลุมการทำเช่นนั้นเช่นกัน ฉันจะทำสิ่งนี้ด้วยตัวเอง แต่ IMHO นั้นเกินความจริงถ้าคุณไม่ใช้เซิร์ฟเวอร์ใด ๆ และให้ไฟร์วอลล์ของ Apple เปิดอยู่ตลอดเวลา

อัปเดต:หากคุณพอใจกับการใช้งานเทอร์มินัลมีโปรแกรมที่execsnoopกล่าวถึงในที่นี้ซึ่งจะช่วยให้คุณทดสอบว่ากระบวนการเซิร์ฟเวอร์ของคุณมักจะถูก bash หรือไม่ ไม่ได้เป็นเวทย์มนตร์เพราะกระบวนการเซิร์ฟเวอร์อาจเรียกว่าทุบตีเฉพาะในสถานการณ์ที่ผิดปกติ แต่มันจะทำให้คุณมีความคิดที่ดี

ในที่สุด Apple ไม่ดีมากในการแก้ไขช่องโหว่ความปลอดภัย แต่พวกเขาเก่งในการประชาสัมพันธ์ดังนั้นสิ่งนี้จะได้รับการแก้ไขอย่างรวดเร็ว จึงมีเหตุผลที่จะคิดว่า "ฉันไม่จำเป็นต้องวิ่งเร็วกว่าหมีฉันต้องวิ่งเร็วกว่าเซิร์ฟเวอร์ที่หาประโยชน์ได้ง่ายจำนวนมากบนอินเทอร์เน็ต" :)

— Jeff Burdges
แหล่งที่มา

2

ไม่มีโอกาสที่ Mac จะเสี่ยงต่อการถูกโจมตีโดยใช้ DHCP เนื่องจากไม่ได้ใช้ Bash

1

คุณรู้ได้อย่างไร? คำแนะนำเบื้องต้นคือไคลเอนต์ DHCP ที่มีช่องโหว่ และหลายบทความคาดการณ์ว่า Mac OS X และ / หรือไคลเอ็นต์ DHCP ของ iOS อาจมีช่องโหว่ เซิร์ฟเวอร์ทั้งหมดควรถือว่ามีความเสี่ยงเว้นแต่จะมีการพิสูจน์เป็นอย่างอื่น

— Jeff Burdges

1

ไม่พวกเขาไม่ควรเป็น; นั่นคือ FUD แน่นอน คุณสามารถตรวจสอบทั้งโอเพ่นซอร์สโค้ดสำหรับการใช้ dhcp ของ OS X และการวัดระบบเรียกตัวเองเพื่อตรวจสอบ

3

@JeffBurdges, OS X ไม่ได้ใช้ shell exec กับ DHCP ตั้งแต่ 10.3 และก่อนหน้านี้ทุบตีนั้นไม่ได้ติดตั้งบนระบบ DHCP บน OS X ไม่ใช่แค่ปัญหาของ Shellshock (สิ่งหนึ่งที่น้อยกว่าที่ต้องกังวล :))

— Trane Francks

1

→เจฟฟ์: โปรดพิจารณา: และstrings /usr/libexec/bootpd | egrep '/bin|bash' nm -a /usr/libexec/bootpd | egrep 'fork|exec'โดยการอ่านคำสั่งเหล่านี้ส่งออกในเวอร์ชันต่าง ๆ ของ MacOS X คุณอาจพิจารณาการวิเคราะห์ความเสี่ยงของคุณเนื่องจากdhcpdใน MacOS X … แต่อันนี้คนเดียว :(.

— dan

2

ฉันทำเครื่องมือนี้ทันทีที่ฉันได้ยินเกี่ยวกับช่องโหว่นี้ มันจะให้ลิงก์ไปยังบทความเพื่อแก้ไขเชลล์ของคุณหากเครื่องมือระบุว่าคุณมีช่องโหว่

ต้องใช้ Mac OS X 10.6 ขึ้นไป

— โทมัสโจนส์
แหล่งที่มา

3

อาจจะเป็นแค่ฉัน ... แต่ความคิดในการใช้รหัสของบุคคลที่สุ่มเพื่อทดสอบการหาประโยชน์ดูเหมือนจะเป็นความคิดที่ไม่ดีจริง ๆเมื่อคุณสามารถวางสตริงได้อย่างง่ายดาย (นั่นชัดเจนแค่การทดสอบและไม่มีอะไรเพิ่มเติม) หน้าต่างเทอร์มินัล

— โจ

ฉันเห็นด้วยนั่นคือสาเหตุที่แหล่งที่มาคือcode.google.com/p/shellshock-check

— Thomas Jones

บางครั้งมันสามารถให้ใช้งานง่ายสำหรับการทดสอบหลายระบบ

— โทมัสโจนส์

ฉันไม่เห็นประโยชน์ของสิ่งนี้ การตรวจสอบช่องโหว่ทำได้ง่ายกว่ามากโดยการวางบรรทัดคำสั่งง่ายๆในหน้าต่างเทอร์มินัล

— อัลเบิร์ต Godfrind

เมื่อทำการทดสอบหลาย ๆ เครื่องโดยเฉพาะอย่างยิ่งในกรณีของฉันสิ่งที่ฉันทำคือการใส่แฟลชไดรฟ์และเปิด Shellshock Check.app นั้นง่ายกว่าการเปิด Safari การค้นหาคำสั่ง bash เพื่อตรวจสอบจากนั้นเปิดเทอร์มินัลวางที่ คำสั่งแล้วกด Enter มันเร็วกว่าการเสียบแฟลชไดรฟ์และเปิดแอปพลิเคชั่นเดียว

— โทมัสโจนส์