CVE-2022-45063
CriticalSummary
Podatność w xterm przed wersją 375 umożliwia wykonanie kodu poprzez operacje związane z czcionkami, co może prowadzić do wykonania poleceń w trybie edycji linii vi w Zsh. Problem wynika z możliwości wystąpienia odpowiedzi OSC 50 zawierającej Ctrl-g.
Risk Assessment
Organizacje mogą być narażone na nieautoryzowane wykonanie poleceń, co może prowadzić do poważnych naruszeń bezpieczeństwa systemów. W szczególności, użytkownicy korzystający z Zsh mogą być szczególnie zagrożeni.
Recommendation
Zaleca się aktualizację xterm do wersji 375 lub nowszej oraz przegląd konfiguracji czcionek w celu zminimalizowania ryzyka. Dodatkowo, warto rozważyć ograniczenie użycia operacji czcionek w domyślnych konfiguracjach terminala.
Original NVD description (English source)
xterm before 375 allows code execution via font ops, e.g., because an OSC 50 response may have Ctrl-g and therefore lead to command execution within the vi line-editing mode of Zsh. NOTE: font ops are not allowed in the xterm default configurations of some Linux distributions.