CVE-2026-95834
ŚrednieCVSS 4.6Streszczenie
Podatność Use After Free w protokole przeciągnij i upuść w kitty od wersji 0.47.0 do 0.49.0 pozwala programowi piszącemu do terminala na odczyt i zapis do zwolnionej pamięci sterty. Błąd występuje w funkcji drag_remote_file_data() w kitty/dnd.c, gdzie wskaźnik do tablicy jest używany po jej zwolnieniu przez funkcje pomocnicze.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wywołania niezdefiniowanego zachowania w procesie terminala, co może prowadzić do awarii, wycieku informacji lub potencjalnie do wykonania kodu. Zagrożenie jest osiągalne z poziomu strumienia bajtów dowolnego programu uruchomionego w oknie terminala.
Rekomendacja
Zaleca się natychmiastową aktualizację kitty do wersji 0.49.0 lub nowszej, która zawiera poprawkę tej podatności. Do czasu aktualizacji należy unikać uruchamiania niezaufanych programów w terminalu kitty.
Inne podatności w kitty
Zobacz wszystkie- CVE-2026-95835Średnie
Podatność typu Missing Authorization w obsłudze kodu escape askpass w terminalu kitty (wersje od 0.25.0 do 0.49.0). Funkcja handle_remote_askpass() otwiera obiekt pamięci współdzielonej POSIX wskazany w kodzie escape i zapisuje do niego odpowiedź użytkownika, nie sprawdzając właściciela ani uprawnień obiektu. Inny lokalny użytkownik może utworzyć taki obiekt, wymusić wyświetlenie fałszywego monitu (np. o hasło) i odczytać wpisany sekret.
- CVE-2026-80432Średnie
Brak autoryzacji w ścieżce obsługi upuszczania protokołu drag and drop w kitty od wersji 0.47.0 przed 0.49.0 pozwala programowi piszącemu do terminala na uzyskanie zawartości plików przeciągniętych nad oknem, nawet jeśli użytkownik nie zakończy upuszczania, a także na kontynuowanie odczytu plików po opuszczeniu okna przez przeciąganie.
- CVE-2026-80431Średnie
W kitty w wersjach od 0.40.0 do 0.49.0 występuje podatność polegająca na zapisie poza granicami bufora w naturalnej gałęzi protokołu skalowania tekstu. Program zapisujący do terminala może wysłać kod escape OSC 66 z grafenem dłuższym niż cztery punkty kodowe, co powoduje zapis poza bufor o stałym rozmiarze w funkcji screen_handle_multicell_command(). Skutkiem jest zakończenie procesu kitty, a tym samym wszystkich okien, zakładek i procesów potomnych.
- CVE-2026-80430Średnie
W kitty w wersjach 0.47.0 do 0.49.0 występuje podatność nieprawidłowego rozwiązywania ścieżek przed dostępem do plików w protokole drag and drop (ściąganych). Program zapisujący do terminala może utworzyć pliki i katalogi poza katalogiem przejściowym przez zahaczanie wpisów z symlinkami i późniejsze podążanie za nimi podczas tworzenia elementów. Atakujący może wykorzystać to do zapisu w dowolnym miejscu zapisywalnym przez użytkownika kitty.
- CVE-2026-95832Krytyczne
W kitty od wersji 0.47.3 przed 0.49.0, obsługa kodów sterujących kolorami (colour control escape codes) nie neutralizuje nazw pól w odpowiedziach, co pozwala programowi piszącemu do terminala na wykonanie dowolnego polecenia w powłoce użytkownika. Atakujący może skomponować polecenie powłoki, wykorzystując znaki ASCII i znak nowej linii z handle_remote_ssh().
- CVE-2026-33642Krytyczne
Kitty to wieloplatformowy terminal oparty na GPU. W wersjach 0.46.2 i niższych funkcja handle_compose_command() w kitty/graphics.c wykonuje walidację granic przesunięć kompozycji przy użyciu arytmetyki 32-bitowej bez znaku, która jest podatna na zawijanie liczb całkowitych, co może prowadzić do odczytu/zapisu poza zakresem sterty (Heap Buffer Over-Read/Write). Atakujący, który może zapisać sekwencje ucieczki do terminala kitty (np. poprzez złośliwy plik, baner logowania SSH lub przetworzoną treść), może dostarczyć spreparowane wartości x_offset/y_offset, które przechodzą kontrolę granic po zawinięciu, ale powodują masywny dostęp do pamięci sterty poza zakresem w compose_rectangles(). Nie jest wymagana żadna interakcja użytkownika ani niestandardowa konfiguracja. Atakujący potrzebuje jedynie możliwości wyświetlenia danych w oknie terminala kitty. Problem został naprawiony w wersji 0.47.0.
- CVE-2026-72913Wysokie
Kitty to wieloplatformowy terminal oparty na GPU. Przed wersją 0.48.2 handlery DCS @kitty-echo i @kitty-ssh w kitty/window.py zapisują nieuwierzytelnione dane do standardowego wejścia powłoki dziecka, gdzie handle_remote_echo akceptuje drukowalne znaki poleceń powłoki, a handle_remote_ssh wywołuje get_ssh_data w kittens/ssh/utils.py, które emituje znak nowej linii; połączenie tych handlerów może wykonać polecenia kontrolowane przez atakującego, gdy użytkownik wyświetla niezaufane dane terminala. Problem naprawiono w wersji 0.48.2.
- CVE-2026-33633Wysokie
Terminal Kitty w wersjach 0.46.2 i niższych zawiera przepełnienie sterty w funkcji load_image_data(). Każdy proces mogący pisać do stdin terminala może wysłać spreparowane polecenie APC z deklaracją PNG, które przekracza dwukrotność początkowej pojemności bufora, powodując natychmiastowy crash i potencjalnie zdalne wykonanie kodu.
Oryginalny opis (angielski, źródło NVD)
Use After Free in the drag source path of the drag and drop protocol in kitty from 0.47.0 before 0.49.0 allows a program writing to the terminal to cause the terminal to read from and write to freed heap memory, because drag_remote_file_data() in kitty/dnd.c holds a DragRemoteItem pointer into an array it does not own, calls toplevel_data_for_drag() or subdir_data_for_drag(), and then continues to use that pointer. Those helpers, and add_payload() and populate_dir_entries() which they call, report errors through the abrt() macro, which expands to cancel_drag() followed by a plain return, and cancel_drag() calls drag_free_offer(), which frees the array the pointer refers to. The helpers return void, so the caller receives no indication that the teardown happened, and proceeds to call all_children_complete() on the freed pointer, which dereferences it, and then to write through it. That dereference is guarded by a local flag that is set when the request carries no payload and announces no further data, which is the same condition that selects the finalisation block of add_payload(), so the error paths in that block reach it: a create that fails because an entry of the same name already exists, because the client may declare two entries with one name and the create operations use O_CREAT with O_EXCL and symlinkat(), a mkdirat() failure other than EEXIST, and the directory entry allocation paths. Both branches reach it. In the top level branch the caller's pointer is never cleared, so clearing the owning structure's own pointers during teardown does not help. In the sub directory branch subdir_data_for_drag() sets the caller's pointer to NULL on entry and assigns it only after its own last error path, so its own aborts leave the caller with NULL and are stopped by a null check, but it then calls add_payload() with that pointer set, and an abort there leaves the caller holding a freed child node inside the item tree, which drag_free_offer() frees by recursion. This results in undefined behaviour in the terminal process, reachable from the byte stream of any program running in the window.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS