CVE Fantôme : une faille de sécurité dans l’émulateur de terminal Ghostty

Un nouvel émulateur de terminal, Ghostty, a récemment publié la version 1.0. Le chercheur en sécurité David Leadbeater a découvert une vulnérabilité (CVE-2024-56803) similaire à une CVE de 2003, permettant aux attaquants d’exécuter du code arbitraire en exploitant la fonctionnalité de requête de titre du terminal. La vulnérabilité tire parti de la nature de la signalisation intégrée des terminaux et du comportement de Zsh en mode vi. Les attaquants peuvent utiliser des séquences d’échappement élaborées pour exécuter des commandes malveillantes à l’insu de l’utilisateur, même via SSH. Ghostty 1.0.1 corrige ce problème ; il est conseillé aux utilisateurs de mettre à niveau ou d’appliquer les mesures d’atténuation fournies dans l’avis.