【活用ガイド】

JVNDB-2019-010363

iTerm2 における任意のコマンド実行が可能な脆弱性

概要

iTerm2 には、遠隔の第三者による任意のコマンド実行が可能となる脆弱性が存在します。

macOS 向けのターミナルエミュレータ iTerm2 における tmux のコントロールモードの扱いには問題があり、遠隔の第三者が、ターミナル上に悪意あるコンテンツを出力させることによって、任意のコマンドを実行させることが可能です。
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 6.3 (警告) [JPCERT/CC値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 低
  • 完全性への影響(I): 低
  • 可用性への影響(A): 低
CVSS v2 による深刻度
基本値: 6.8 (警告) [JPCERT/CC値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 部分的
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): 部分的
影響を受けるシステム


George Nachman
  • iTerm2 2 3.3.5 およびそれ以前

想定される影響

遠隔の第三者から与えられた悪意あるコンテンツをターミナル上に出力することにより、任意のコマンドを実行される可能性があります。
例えば、悪意あるサーバへの SSH 接続を行ったり、curl コマンドで悪意あるサイトからコンテンツを取得したり、悪意あるコンテンツが含まれるログファイルを表示したりすることで、攻撃される可能性があります。

対策

[アップデートする]
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者からは、本脆弱性への対策を行ったバージョン 3.3.6 が提供されています。
あわせて、開発者が提供するドキュメント tmux Integration Best Practices も参照してください。
ベンダ情報

George Nachman
CWEによる脆弱性タイプ一覧  CWEとは?

共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2019-9535
参考情報

  1. JVN : JVNVU#98580651
  2. National Vulnerability Database (NVD) : CVE-2019-9535
  3. US-CERT Vulnerability Note : VU#763073
  4. 関連文書 : Critical Security Issue identified in iTerm2 as part of Mozilla Open Source Audit
更新履歴

  • [2019年10月11日]
      掲載
  • [2019年12月02日]
      参考情報：National Vulnerability Database (NVD) (CVE-2019-9535) を追加

公表日2019/10/09
登録日2019/10/11
最終更新日2019/12/02