Aplicaci贸n de terminal iTerm2 macOS

Se descubri贸 una vulnerabilidad cr铆tica de ejecuci贸n remota de c贸digo de 7 a帽os en iTerm2 Aplicaci贸n MacOS Terminal Emulator: uno de los reemplazos de c贸digo abierto m谩s populares para la aplicaci贸n de terminal incorporada de Mac.

Trazado como CVE-2019-9535, la vulnerabilidad en iTerm2 fue descubierta como parte de una auditor铆a de seguridad independiente financiada por el Programa de Soporte de C贸digo Abierto de Mozilla (MOSS) y realizada por la firma de ciberseguridad Radically Open Security (ROS).

Copias de seguridad autom谩ticas de GitHub

芦MOSS seleccion贸 iTerm2 para una auditor铆a de seguridad porque procesa datos que no son de confianza y es ampliamente utilizado, incluso por objetivos de alto riesgo (como desarrolladores y administradores de sistemas)禄, dice Mozilla.

De acuerdo a una entrada en el blog Publicado hoy por Mozilla, la falla de RCE radica en la funci贸n de integraci贸n tmux de iTerm2, que, si se explota, podr铆a permitir que un atacante ejecute comandos arbitrarios enviando resultados maliciosos al terminal.

Como se muestra en el video de demostraci贸n, los posibles vectores de ataque para esta vulnerabilidad incluyen conectarse a un servidor SSH malicioso controlado por un atacante, usar comandos como curl para recuperar un sitio web malicioso o usar tail -f para seguir un archivo de registro que contenga contenido malicioso .

Prevenir filtraciones de datos

M谩s all谩 de eso, la falla tambi茅n se puede desencadenar usando utilidades de l铆nea de comandos enga帽谩ndolos para que impriman contenido controlado por el atacante, lo que finalmente permite a los atacantes ejecutar comandos arbitrarios en la computadora Mac del usuario.

芦Por lo general, esta vulnerabilidad requerir铆a cierto grado de interacci贸n o enga帽o por parte del usuario; pero debido a que puede explotarse a trav茅s de comandos que generalmente se consideran seguros, existe un alto grado de preocupaci贸n sobre el impacto potencial禄, advierte Mozilla.

La vulnerabilidad afecta a las versiones de iTerm2 hasta la 3.3.5 inclusive y se corrigi贸 recientemente con el lanzamiento de iTerm2 3.3.6, que los usuarios pueden descargar manualmente o buscar actualizaciones en el men煤 de aplicaciones instaladas.