macos 终端工具 iterm2 被发现一个存在 7 年的重大漏洞-k8凯发棋牌

iterm2 是非常流行的终端模拟器，被许多开发者与系统管理员广泛使用，不少人甚至会用它来处理一些不受信任的数据，因此 moss（mozilla open source support program） 这次选了 iterm2，并委托 ros（radially open security）进行安全审核工作。

据了解，这个漏洞在 iterm2 中已存在长达 7 年，目前分配到的编号为 cve-2019-9535。这个漏洞可以让攻击者在使用者电脑上执行命令。

说起漏洞，iterm2 这个重大的安全漏洞由 moss 资助的安全审核团队发现，moss 于 2015 年成立，从那时起就开始为开源开发者提供资金支持、协助开源与自由软件的发展。同时还支持开源技术的安全审核，moss 的资金正是来自 mozilla 基金会，以确保开源生态健康发展。

ros 发现 iterm2 中的 tmux 整合功能有严重的漏洞，而且漏洞至少已经存在 7 年。简单来说，在大多数情况下，允许攻击者可对终端产生输出，也就是能在用户的电脑上执行命令。ros 提供了攻击的 demo，而视频内容主要是进行表达概念性验证，因此当用户连接到恶意的 ssh 服务器后，攻击者仅示范开启的计算机程序，实际上还可以进行更多恶意指令。

mozilla 则提到，这个漏洞需要与用户进行一定程度的互动，然后攻击者才能进行后续的攻击行动，但是由于使用普遍认为安全的指令就会受到攻击，因此被认为有高度的潜在安全影响。现在 mozilla、ros 与 iterm2 开发者密切合作，推出了最新 3.3.6 版本，而 3.3.5 的安全修补程式也已经发布。mozilla 表示，虽然软件会主动提示更新，但是希望开发者能主动进  行更新，减少可能被攻击机会。

目前 iterm2 开发者现在已经发布最新的 3.3.6 版本，mozilla 也提醒使用者应该要尽快更新。