CVE-2025-22275 (CVSS 9.3):iTerm2 修补了暴露用户输入和输出的重大安全漏洞

阅读量26193

发布时间 : 2025-01-06 09:55:57

x
译文声明

本文是翻译文章,文章原作者 do son,文章来源:securityonline

原文地址:https://securityonline.info/iterm2-patches-critical-security-vulnerability-exposing-user-input-and-output/

译文仅供参考,具体内容表达以及含义原文为准。

iTerm2 vulnerability

在 MacOS 上流行的终端模拟器 iTerm2 中发现了一个严重的安全漏洞(CVE-2025-22275 (CVSS 9.3))并打上了补丁。该漏洞存在于 3.5.6 至 3.5.10 版本以及 3.5.6 及更高版本的测试版中,可能导致未经授权访问敏感用户数据。

CVE-2025-22275 漏洞源于 SSH 集成功能中的一个错误,它无意中将用户输入和输出记录到远程主机上的一个文件 (/tmp/framer.txt)。同一主机上的其他用户可以读取该文件,从而可能暴露密码、私钥或 SSH 会话期间传输的机密数据等敏感信息。

iTerm2 开发人员 George Nachman 在发布 3.5.11 版本时发表声明说:“我对这一错误深表遗憾,并将采取措施确保这种情况不再发生。纳赫曼确认,在 SSH 集成功能中负责写入日志文件的代码已被删除,不会再重新引入。”

谁有风险?

使用受影响版本中的 SSH 集成功能并连接到安装了 Python 3.7 或更高版本的远程主机的用户可能面临风险。这包括那些

  • 使用 it2ssh 命令。
  • 使用 “SSH ”命令选项配置 iTerm2 配置文件以使用 SSH 集成。

需要采取紧急行动

强烈建议 iTerm2 用户立即更新至 3.5.11 版。此外,必须删除任何可能受影响的远程主机上的 /tmp/framer.txt 文件,以防止未经授权访问记录的数据。

本文翻译自securityonline 原文链接。如若转载请注明出处。
分享到:微信
+10赞
收藏
安全客
分享到:微信

发表评论

Copyright © 北京奇虎科技有限公司 三六零数字安全科技集团有限公司 安全KER All Rights Reserved 京ICP备08010314号-66