JVNDB-2026-016612

TabbyにおけるOS コマンドインジェクションの脆弱性

Tabby（旧称Terminus）は非常に高度に設定可能なターミナルエミュレーターです。1.0.233以前のバージョンでは、すべてのターミナルセッション出力に対するZMODEMプロトコルの検出がユーザーの操作なしに自動的に実行されており、攻撃者が操作するコンテンツをユーザーが表示した際にシェルコマンドを実行できる状態でした。tabby-terminalのZModemMiddlewareは、Zmodem.Sentryを通じてすべてのセッション出力を処理し、ZMODEMのZRQINITヘッダーを検出すると、無条件にdetection.confirm()を呼び出して固定のZRINIT応答（**\x18B0100000023be50\r\n\x11）をアクティブなPTYに入力として書き込みます。検出を引き起こしたプロセス（例：cat）が終了すると、注入されたバイトはユーザーのシェルによってコマンドラインとして解釈されます。fishシェル（デフォルト構成）では、**プレフィックスがカレントディレクトリに対する再帰的なグロブ展開を引き起こし、攻撃者が配置した実行可能ファイル（例：d/xB0100000023be50）をPATHを介さずに相対パス名で実行可能にします。bashやzshでは、二次的なxterm.jsの端末カラー問い合わせフィードバック（OSC 10）を同一ファイル内で併用することで、スラッシュを含むコマンド語の注入が可能となり、これもPATH解決を迂回します。攻撃者は、クローンしたGitリポジトリなどに細工したファイルを提供し、ユーザーがcatで表示するだけでコード実行を達成できるため、操作はファイル閲覧のみで済みます。この脆弱性は1.0.233で修正されました。

Tabby

• Tabby 1.0.233 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Tabby auto-confirms ZMODEM detection on terminal output, leading to shell command execution from displayed file content under fish, bash, and zsh  Advisory  Eugeny/tabby  GitHub

1. OSコマンドインジェクション(CWE-78) [その他]

1. CVE-2026-45036

1. National Vulnerability Database (NVD) : CVE-2026-45036

• [2026年05月21日]
    掲載