今天，在iTerm2 macOS终端仿真器应用程序中发现了一个存在7年的远程代码执行漏洞，它是Mac内置终端应用程序的最受欢迎的开源替代品之一。
追踪为CVE-2019-9535的iTerm2中的漏洞是由Mozilla开源支持计划（MOSS）资助，由网络安全公司Radically Open Security（ROS）进行的独立安全审核的一部分。
Mozilla说：“ MOSS之所以选择iTerm2进行安全审核，是因为它处理不受信任的数据，并且被包括高风险目标对象（例如开发人员和系统管理员）在内的广泛使用。”
RCE漏洞存在于iTerm2的tmux集成功能中，如果利用该功能，攻击者可以通过向终端提供恶意输出来执行任意命令。
此漏洞的潜在攻击媒介包括连接到攻击者控制的恶意SSH服务器，使用curl等命令获取恶意网站或使用tail -f跟踪包含某些恶意内容的日志文件。
除此之外，还可以使用命令行实用程序，通过诱使它们打印攻击者控制的内容来触发该缺陷，最终使攻击者可以在用户的Mac计算机上执行任意命令。
Mozilla警告说：“通常，此漏洞需要某种程度的用户交互或欺骗；但是由于可以通过通常认为安全的命令来利用此漏洞，因此人们非常担心其潜在影响。”
该漏洞影响3.3.5及更高版本的iTerm2版本，并且最近已通过iTerm2 3.3.6发行版进行了修补，用户可以手动下载该版本或在已安装的应用程序菜单中检查更新
