CVE-2024-38395

iTerm2: RCE przez niezastosowanie ustawienia tytułu okna terminala

CVSS 9.8v3.1pub. 2024-06-16upd. 2025-06-18

Podatność w aplikacji iTerm2 przed wersją 3.5.2 pozwala na zdalne wykonanie kodu (RCE) z powodu nieprzestrzegania ustawienia "Terminal may report window title". Mimo że eksploatacja nie jest trywialna, ocena CVSS 9.8 wskazuje na krytyczny potencjał zagrożenia.

▸ Pokaż oryginał (EN)

In iTerm2 before 3.5.2, the "Terminal may report window title" setting is not honored, and thus remote code execution might occur but "is not trivially exploitable."

🤖 Analiza AI

Jak działa

Ustawienie użytkownika "Terminal may report window title", które powinno blokować możliwość raportowania tytułu okna przez terminal, nie jest faktycznie egzekwowane przez aplikację. Złośliwa strona zdalna może wykorzystać tę lukę (sklasyfikowaną jako CWE-94 – niewłaściwa kontrola generowania kodu) do wstrzyknięcia i wykonania arbitralnego kodu na maszynie ofiary. Atak nie wymaga uwierzytelnienia ani interakcji użytkownika, a dostęp odbywa się przez sieć.

Skutki

Atakujący może zdalnie wykonać dowolny kod na systemie ofiary, co potencjalnie prowadzi do pełnego przejęcia kontroli nad systemem, wycieku danych lub dalszego lateral movement w sieci.

Mitygacja

Należy zaktualizować iTerm2 do wersji 3.5.2 lub nowszej, dostępnej pod adresem https://iterm2.com/downloads.html. Poprawka została wprowadzona w commicie f1e89f78dd72dcac3ba66d3d6f93db3f7f649219.

Kogo dotyczy

iTerm2 w wersjach wcześniejszych niż 3.5.2

Uwagi

Producent i badacze wskazują, że podatność 'is not trivially exploitable', co oznacza podwyższony próg trudności ataku mimo krytycznej oceny CVSS. Informacja o podatności została opublikowana na liście oss-security w dniu 2024-06-15.