Er is een ernstig beveiligingslek in de populaire macOS terminal emulator iTerm2 gepatcht. Via de kwetsbaarheid had een aanvaller in bepaalde gevallen commando's op het systeem van de gebruiker kunnen uitvoeren. Via een terminal emulator kan er verbinding met een remote server worden gemaakt.

Systeembeheerders en ontwikkelaars maken er onder andere gebruik van. De kwetsbaarheid bleek al zeven jaar in de code van iTerm2 aanwezig te zijn en werd gevonden dankzij een security-audit die via het Mozilla Open Source Support Program (MOSS) werd gefinancierd. Via het MOSS-initiatief wil Mozilla opensourceprojecten financieel ondersteunen.

De kwetsbaarheid in iTerm2 maakt het mogelijk voor een aanvaller die uitvoer in de terminal van de gebruiker kan produceren om commando's op het systeem van de gebruiker uit te voeren. Er zijn verschillende manieren waarop de kwetsbaarheid is te misbruiken, bijvoorbeeld wanneer een gebruiker verbinding maakt met een SSH-server van de aanvaller of via cURL een malafide url of een logbestand opvraagt.

"Dit is een ernstig beveiligingsprobleem omdat het in sommige gevallen een aanvaller commando's op je machine laat uitvoeren wanneer je een bestand bekijkt of invoer ontvangt die ze in iTerm2 hebben gemaakt", zegt George Nachman, de ontwikkelaar van de terminal emulator.

"Dit beveiligingslek vereist enige gebruikersinteractie of trucerij; maar omdat het is te misbruiken via commando's die over het algemeen als veilig worden beschouwd zijn er grote zorgen over de mogelijke impact", zegt Mozillas Tom Ritter. Gebruikers van iTerm2 krijgen het advies om te updaten naar versie 3.3.6. Dit kan via de updatefunctie van de software. In onderstaande video wordt de kwetsbaarheid gedemonstreerd.