macOS终端工具 iTerm2 被发现一个存在 7 年的重大漏洞
点击上方“芋道源码
做积极的人，而不是积极废人！
源码精品专栏
来源：oschina.net/news/110527
吓得艿艿赶紧升级我的 iTerm 。
最近好惨，貌似我的 MacBook 键盘被我有点敲坏了。咳咳咳
此漏洞会允许攻击者在用户电脑上远程执行命令，Mozilla 提醒用户应该立即主动升级软件。
iTerm2 是非常流行的终端模拟器，被许多开发者与系统管理员广泛使用，不少人甚至会用它来处理一些不受信任的数据，因此 MOSS（Mozilla Open Source Support Program） 这次选了 iTerm2，并委托 ROS（Radially Open Security）进行安全审核工作。
ROS 发现 iTerm2 中的 tmux 整合功能有严重的漏洞，而且漏洞至少已经存在 7 年（漏洞编号为 CVE-2019-9535），可以让攻击者在使用者电脑上执行命令。
简单来说，在大多数情况下，漏洞可允许攻击者对终端产生输出，也就是能在用户的电脑上执行命令。ROS 提供了攻击的 demo，视频内容主要是进行概念性验证，因此当用户连接到恶意的 SSH 服务器后，攻击者仅示范开启的计算机程序，实际上还可以进行更多恶意指令。
据了解，iTerm2 这个重大的安全漏洞由 MOSS 资助的安全审核团队发现，MOSS 于 2015 年成立，从那时起就开始为开源开发者提供资金支持、协助开源与自由软件的发展。同时还支持开源技术的安全审核，MOSS 的资金正是来自 Mozilla 基金会，以确保开源生态健康发展。
Mozilla 则提到，这个漏洞需要与用户进行一定程度的互动，然后攻击者才能进行后续的攻击行动，但是由于使用普遍认为安全的指令就会受到攻击，因此被认为有高度的潜在安全影响。现在 Mozilla、ROS 与 iTerm2 开发者密切合作，推出了最新 3.3.6 版本，而 3.3.5 的安全修补程式也已经发布。Mozilla 表示，虽然软件会主动提示更新，但是希望开发者能主动进 行更新，减少可能被攻击机会。
目前 iTerm2 开发者现在已经发布最新的 3.3.6 版本，Mozilla 也提醒使用者应该要尽快更新。
欢迎加入我的知识星球，一起探讨架构，交流源码。加入方式，长按下方二维码噢：
已在知识星球更新源码解析如下：
如果你喜欢这篇文章，喜欢，转发。
生活很美好，明天见(｡･ω･｡)ﾉ♡