نقص بحرانی RCE در ترمینال محبوب iTerm2 macOS

دسته بندی ها : اخبار ۲۰ مهر ۱۳۹۸ فایزه اشرفیان اشرفیان 23 بازدید

یک آسیب پذیری اجرای کد از راه دور بحرانی ۷ ساله، در برنامه شبیه ساز ترمینال macOS iTerm2 کشف شده است- که یکی از محبوب ترین جایگزین های منبع باز برای ترمینال داخلی Mac است.

آسیب پذیری CVE-2019-9535  کشف شده در iTerm2، به عنوان بخش از حسابرسی مستقل امنیتی، تامین شده از سوی برنامه پشتیبان و منبع باز موزیلا (MOSS)، صورت گرفته است که توسط شرکت امنیت سایبری Radical Open Security (ROS) انجام شده است.

موزیلا می گوید: “برنامه ی پشتیبان متن باز موزیلا، iTerm2 را برای حسابرسی امنیتی انتخاب کرده است زیرا داده های غیرقابل اعتماد را پردازش می کند، و به طور گسترده ای توسط همه مخصوصا اهداف با ریسک بالا مانند توسعه دهندگان و مدیران سیستم مورد استفاده قرار می گیرد.

طبق پستی که امروز موزیلا منتشر کرده است، نقص RCE در ترمینال مالتی پلکسر iTerm2 یا همان tmux، بوده است که در صورت بهره برداری، به مهاجمان اجازه می‌دهد با ارائه یک خروجی مخرب به ترمینال، دستورات دلخواهی را اجرا کنند.

لینک ویدئو: https://youtu.be/yPgoSFJ6GyM

همانطور که در ویدئو نشان داده می‌شود، از جمله راه های موجود برای این آسیب پذیری شامل اتصال به سرور SSH مخرب تحت کنترل مهاجم، استفاده از دستوراتی مانند curl برای واکشی یک وب سایت مخرب یا استفاده از دستور tail -f برای دنبال کردن یک فایل لاگ که شامل محتواهای مخرب، می‌باشد.

علاوه بر این، می توان با استفاده از ابزارهای خط فرمان و فریب دادن کاربران به چاپ محتوای کنترل شده توسط مهاجم، از این استفاده کرد و در نهایت به مهاجمان اجازه داد دستورات دلخواه را در رایانه Mac کاربر اجرا کنند.

موزیلا هشدار می دهد ” این آسیب پذیری نیاز به مقداری با تعامل کاربر را دارد، اما از آنجا که می توان از طریق دستوراتی که عموماً ایمن در نظر گرفته می شوند، بهره وری کرد، نگرانی بالایی در مورد تأثیر احتمالی آن وجود دارد”.

این آسیب پذیری روی iTerm2 با نسخه های ۳.۳.۵ و بالاتر تأثیر می گذارد و اخیراً با انتشار iTerm2 نسخه  ۳.۳.۶ وصله شده است، که کاربران می توانند به صورت دستی آن‌را دانلود کنند یا به روزرسانی ها را از طریق منوی برنامه های نصب شده خود بررسی نمایند.

راه آسان‌تری برای ارتباط با کاربران‌مان پیدا کرده‌ایم :) عضویت در کانال

نظرات کاربران

دیدگاهتان را بنویسید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *

لینک کوتاه :

عضویت در خبرنامه ویژه مشتریان سیگما پلاس

با عضویت در خبرنامه ویژه سیگما پلاس از آخرین جشنواره های سایت باخبر شوید!