Bash, és un acrònim de Bourne Again Shell, bàsicament, la línia d'ordres de molts sistemes operatius basats en Unix, com Linux o Mac OS X (Windows no fa servir Bash, encara que això no vol dir que algun programari que tingui instal·lat sí ho implementi). La línia de comandes permet al usuaris posar en marxa programes i alterar les característiques de programari mitjançant l'entrada de text. S'utilitza normalment pels programadors i no hauria de ser accessible a la resta del món, tot i Shellshock ha canviat això.

Per exemple, els usuaris de Mac OS X és tracta de l'eina "Terminal". Linux i Mac OS X són en gran part derivats del sistema operatiu Unix, de manera que comparteixen algunes característiques.

Què és la vulnerabilitat i com podrien aprofitar els atacants?   

Aquesta vulnerabilitat (amb una antiguitat de més de 25 anys (!)) està relacionada amb el tractament del que es coneix com a "variables d'entorn" a Bash. Aquest error ha estat descobert per l'expert en Linux Stéphane Chazelas, i és motiu de seriosa preocupació perquè la línia de comandes la fan servir moltes eines populars per modificar aquestes variables d'entorn.

En teoria, un atacant podria aprofitar aquest error forçant a l'equip a establir variables d'entorn especialment dissenyades. Això podria explotar-se per llançar ordres de shell remots, és a dir executar programes en equips d'altres persones i així aconseguir el control d'aquests equips pel hacker.

La fallada trobada consisteix en que, quan es defineixen variables d'entorn, bash contínua processant les ordres que vénen després de la "definició de la funció", cosa que mai hauria de permetre fer. El problema és que, per exemple, Bash s'utilitza àmpliament per processar scripts CGI en servidors web Apache (una gran part dels servidors web funcionen amb Apache). Com que no hi autenticació en aquests scripts CGI, un hacker podria, mitjançant una petició web, incloure línies de codi per explotar la vulnerabilitat. Aquest és el que es considera la forma d'atac més probable.

No obstant això, tot això és encara hipotètic. Encara no hi ha hagut informes d'atacs en el món real que hagin explotat aquesta vulnerabilitat. Però ningú dubta que apareixeran, causa de l'ampli ús de Bash. 

El meu equip és vulnerable?   

En aquests moments, tot equip basat en tecnologia Unix és potencialment vulnerable. Això inclou els equips funcionant en Linux o ordinadors Apple, però molts equips electrònics han estat desenvolupats a partir de Linux, com telèfons mòbils, routers, consoles per Videojocs o fins i tot Smart TVs. El gran risc d'aquesta vulnerabilitat detectada consisteix en l'àmplia difusió que té Bash fora dels entorns purament informàtics així com la dificultat per a "actualitzar" aquests equips.

Què cal fer ara?   

És obvi, habitualment no ho fem encara se'ns hagi advertit sovint: aplicar les últimes actualitzacions de seguretat als equips afectats el més aviat possible. Especialment, qualsevol servidor web afectat s'ha d'actualitzar immediatament.

Per a això, dirigir-se a la web del fabricant de l'equip o del programari. Els principals distribuïdors de Linux estan donant ja informació de com actualitzar els respectius sistemes operatius.