终端应用程序 iTerm2 可通过 DNS 请求泄露用户敏感信息

iTerm2 是一款颇受 Mac 开发人员欢迎的终端应用程序，甚至取代了苹果官方终端应用的地位。然而，研究人员首次于去年在 iTerm2  3.0.0 版本中发现一处鼠标悬停漏洞，即当用户将鼠标悬停在 iTerm2 终端的任何内容时，该程序将尝试确定字段是否存在有效 URL，并将其作为可点击链接突出显示。此外，为避免使用不准确的字符串模式匹配算法、创建不可用链接，该功能还使用了 DNS 请求确定域名是否真实存在。随后，iTerm2 开发人员立即升级应用至 3.0.13 版本，允许用户自行关闭 “ DNS 查询 ” 功能。不过，系统在默认情况下仍开启该功能权限。

9 月 19 日，HackerNews.cc 得到消息，荷兰开发人员 Peter van Dijk 指出，iTerm2 鼠标悬停漏洞除此前出现的问题外，还包括通过 DNS 请求泄露用户账号、密码、API 密钥等敏感信息。DNS 请求是明文通信，意味着任何能够拦截这些请求的用户都可访问 iTerm 终端中经过鼠标悬停的所有数据。

这一次，iTerm2 开发人员在了解问题的严重程度后深表歉意，并立即发布 iTerm2 3.1.1 版本解决问题。目前，研究人员提醒使用 iTerm2 旧版本的用户更新至最新版本，以确保自身隐私安全。如果用户更新至3.0.13 版本时，可通过相关步骤修改选项、确保系统安全。即打开 “ Preferences ⋙ Advanced ⋙ Semantic History ” 后将 “ Perform DNS lookups to check if URLs are valid? ” 选项改为 “ NO ” 。

原作者：Catalin Cimpanu，编译：青楚
本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc ” 并附上原文链接。