iTerm2 annonce une mise à jour de sécurité critique

 (iterm2.com)
2 points par GN⁺ 2025-01-03 | 2 commentaires | Partager sur WhatsApp
  • La version 3.5.11 d’iTerm2 a été compilée le 2 janvier 2025 et contient des corrections de sécurité importantes. Il est fortement recommandé de procéder à la mise à jour immédiatement.

Utilisateurs concernés

  • Si vous utilisez la fonction d’intégration SSH, les versions suivantes peuvent être concernées :
    • 3.5.6
    • 3.5.7
    • 3.5.8
    • 3.5.9
    • 3.5.10
    • toutes les versions bêta postérieures à 3.5.6

Cause du problème

  • En raison d’un bug de l’intégration SSH, les entrées et sorties ont été écrites dans un fichier de l’hôte distant. Ce fichier (/tmp/framer.txt) pouvait être lu par d’autres utilisateurs de cet hôte distant.

Conditions de reproduction

  1. Si vous utilisez l’un des éléments suivants :
    • la commande it2ssh
    • le menu déroulant de commande réglé sur "SSH" dans Paramètres > Profils > Général, avec la case "Intégration SSH" cochée dans la boîte de dialogue de configuration SSH
  2. Python 3.7+ est installé sur l’hôte distant et disponible dans le chemin de recherche par défaut

Mesures à prendre

  • Mettez à jour immédiatement vers la version 3.5.11.
  • Supprimez le fichier /tmp/framer.txt sur les hôtes affectés.

Résolution

  • Nous prenons pleinement conscience de cette erreur et nous prendrons les mesures nécessaires pour qu’elle ne se reproduise plus.
  • Le code d’écriture des journaux dans l’intégration SSH a été supprimé et ne sera pas exposé.
  • Pour toute question, vous pouvez contacter gnachman@gmail.com.

Vérification des fichiers

  • SHA-256 du fichier zip : 655e32b4a9466104f1b0d8847e852515bc332bdf434801762e01b9625caa43e2
  • Vous pouvez vérifier le fichier zip via https://keybase.io/verify à l’aide de la commande suivante : 
    -----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256
655e32b4a9466104f1b0d8847e852515bc332bdf434801762e01b9625caa43e2
-----BEGIN PGP SIGNATURE-----
iHUEAREIAB0WIQSAPIQGkYVsjnBRo2J0Et0TaFtKrAUCZ3br8gAKCRB0Et0TaFtK
rLntAQDqPcKkRA23Wo5/XuB2lymF8n+0GK3E+ZT3MYbTNgsnSQD/Xgt7V9QhP42n
QmQpnmb804FrHkCnqIJMvcBAim6AbBM==Zlrw
-----END PGP SIGNATURE-----

À lire aussi

2 commentaires

 
xguru 2025-01-03

J’ai été surpris de voir que ma version est la 3.4.3. Je n’utilise pas beaucoup le terminal en ce moment, donc je n’ai pas non plus pris l’habitude de le mettre à jour régulièrement.
 
GN⁺ 2025-01-03
Commentaire Hacker News

  • Je suis perplexe face à l'opinion selon laquelle il ne faut pas utiliser iTerm2. Le même problème pourrait aussi survenir dans d'autres projets, et changer d'outil n'est pas une défense vraiment efficace.

    • On peut aussi voir le problème de sécurité d'iTerm2 comme une occasion d'améliorer sa posture de sécurité.
    • L'application Terminal de macOS peut présenter un risque moindre qu'iTerm2, mais son modèle fermé empêche la possibilité d'un audit.

  • Le print() de débogage semble être entré en production.

  • Un bug de la fonction d'intégration SSH écrit l'entrée et la sortie dans un fichier de l'hôte distant.

    • Ce fichier peut potentiellement être lisible par d'autres utilisateurs.

  • Méfiance envers la déclaration du développeur disant qu'il regrettait profondément son erreur et prendrait des mesures pour en empêcher la répétition.

    • Tester toutes les fonctionnalités avec des outils automatisés est extrêmement difficile.

  • Il s'agit d'un problème propre à l'intégration SSH et ne se produit pas simplement en exécutant ssh.

  • Je doute qu'il existe une raison solide d'utiliser iTerm2 en 2025.

    • Je suis réticent à utiliser iTerm2 à cause des problèmes de sécurité et de confidentialité.

  • Le sentiment que iTerm2 devient de plus en plus complexe et lourd, avec de plus en plus de problèmes de sécurité.

    • J'éprouve le besoin de chercher un nouvel émulateur de terminal.
    • GNU Screen étant stagnant, je pense passer à tmux.

  • Je pense qu'il est plus approprié de remplacer les clés SSH que de supprimer /tmp/framer.txt sur l'hôte touché.

  • Je m'interroge sur le besoin d'avoir une intégration SSH dans un terminal.

    • Ne faudrait-il pas l'éviter, car elle n'est pas sûre ?

  • Je me pose des questions sur le bug de l'intégration SSH qui écrit sur le fichier de l'hôte distant.

    • Je me demande ce que signifie exactement « framer ».