CVE-2026-33633
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Terminal Kitty w wersjach 0.46.2 i niższych zawiera przepełnienie sterty w funkcji load_image_data(). Każdy proces mogący pisać do stdin terminala może wysłać spreparowane polecenie APC z deklaracją PNG, które przekracza dwukrotność początkowej pojemności bufora, powodując natychmiastowy crash i potencjalnie zdalne wykonanie kodu.
Ocena ryzyka
Atakujący lokalny lub zdalny (jeśli może pisać do stdin) może spowodować awarię terminala Kitty, a w skrajnych przypadkach przejąć kontrolę nad procesem terminala.
Rekomendacja
Należy zaktualizować Kitty do wersji 0.47.0, która zawiera poprawkę przepełnienia sterty.
Inne podatności w Kitty
Zobacz wszystkie- CVE-2026-33642Krytyczne
Kitty to wieloplatformowy terminal oparty na GPU. W wersjach 0.46.2 i niższych funkcja handle_compose_command() w kitty/graphics.c wykonuje walidację granic przesunięć kompozycji przy użyciu arytmetyki 32-bitowej bez znaku, która jest podatna na zawijanie liczb całkowitych, co może prowadzić do odczytu/zapisu poza zakresem sterty (Heap Buffer Over-Read/Write). Atakujący, który może zapisać sekwencje ucieczki do terminala kitty (np. poprzez złośliwy plik, baner logowania SSH lub przetworzoną treść), może dostarczyć spreparowane wartości x_offset/y_offset, które przechodzą kontrolę granic po zawinięciu, ale powodują masywny dostęp do pamięci sterty poza zakresem w compose_rectangles(). Nie jest wymagana żadna interakcja użytkownika ani niestandardowa konfiguracja. Atakujący potrzebuje jedynie możliwości wyświetlenia danych w oknie terminala kitty. Problem został naprawiony w wersji 0.47.0.
- CVE-2026-72913Wysokie
Kitty to wieloplatformowy terminal oparty na GPU. Przed wersją 0.48.2 handlery DCS @kitty-echo i @kitty-ssh w kitty/window.py zapisują nieuwierzytelnione dane do standardowego wejścia powłoki dziecka, gdzie handle_remote_echo akceptuje drukowalne znaki poleceń powłoki, a handle_remote_ssh wywołuje get_ssh_data w kittens/ssh/utils.py, które emituje znak nowej linii; połączenie tych handlerów może wykonać polecenia kontrolowane przez atakującego, gdy użytkownik wyświetla niezaufane dane terminala. Problem naprawiono w wersji 0.48.2.
Oryginalny opis (angielski, źródło NVD)
Kitty is a cross-platform GPU based terminal. Versions 0.46.2 and below contain a heap buffer overflow in load_image_data() that allows any process which can write to the terminal's stdin to crash kitty immediately. The vulnerability is triggered by a single APC graphics protocol command with a PNG format declaration (f=100) whose payload exceeds twice the initial buffer capacity. The overflow is attacker-controlled in both length and content, causing DoS and potentially escalation to RCE itself. This issue has been fixed in version 0.47.0.