iTerm2通過DNS請求泄漏您終端中的一切
iTerm2是一個受歡迎的Mac應用程序，作爲蘋果官方終端應用程序的替代品，幾分鐘前剛剛收到一個安全修復程序，用於通過DNS請求泄露終端內容的嚴重安全問題。
版本3.1.1禁用在iTerm 3.0.0中添加的功能，默認情況下已打開。此功能可在iTerm2的「執行DNS查找以查看URL是否有效」中找到。設置。
在版本3.0.0中引入，當懸停在iTerm2終端內的任何內容時，該功能將會觀看用戶的鼠標。當鼠標停止一個字時，iTerm2將嘗試確定該字詞是否是有效的URL，並將該術語突出顯示爲可點擊的鏈接。
爲了避免通過使用不準確的字符串模式匹配算法創建死鏈接，該功能將改爲使用DNS請求，並確定該域是否真實存在。
iTerm意外地將密碼，API密鑰發送到DNS服務器
這種行爲是一個巨大的隱私問題，當用戶將鼠標懸停在密碼，API密鑰，用戶名或其他敏感內容上時，會不經意地通過DNS請求泄漏此信息。
DNS請求是明文通信，意味着任何能夠攔截這些請求的用戶都可以訪問用戶在他的iTerm終端中懸停的數據。
根據該應用的官方網站，iTerm2 3.0.0於2016年7月4日發佈，表明許多用戶在不知情的情況下將敏感內容泄露給DNS服務器超過一年。
iTerm2維護者道歉
iTerm2的泄漏問題是十個月前首次發現。iTerm2的創建者最初通過向iTerm 3.0.13添加了一個選項，允許用戶禁用DNS查找。默認情況下，新功能和現有安裝功能仍然啓用該功能。
荷蘭開發人員Peter van Dijk，開源DNS軟件和DNS管理服務供應商PowerDNS的軟件工程師，重新報告了這一功能，而在這一次，他指出，第一個錯誤報告中沒有包含一些嚴重的隱私泄漏。
「iTerm將純文本中的各種東西（包括密碼）發送到我的ISP的DNS服務器，」van Dijk在今天早些時候提交的錯誤報告中寫道。
這一次，iTerm2的維護者George Nachman馬上就瞭解了這個問題的嚴重性，併發布了iTerm2 3.1.1來解決這個問題。他還默認啓用此功能表示歉意，而無需更深入地分析可能的後果。
Nachman寫道：「我沒有藉口：我只是沒有足夠的思考這個問題，我對此表示歉意，並承諾將來會更加小心。」 「你的隱私永遠是我的最高優先事項。」
安監調查也受到影響
除了可能泄露敏感內容（如密碼和API密鑰）外，還有另一個負面的功能。
一個名叫ewaher的用戶首先發現了這個bug的行爲，用戶不應該通過DNS查詢域名，以確定它們是否在iTerm中被突出顯示。
他補充說：「目前的行爲可能會危及安全分析師或事件響應者的調查，通過在iTerm中無意中查詢URL。」 黑客/攻擊者通常會監控這些調查員的攻擊基礎設施，以及來自目標網絡的這些類型的查詢。「
根據iTerm2更改日誌，版本3.1.1「包括一個安全修補程序來禁用可能泄露用戶數據的不必要的DNS請求。
使用3.0.0和3.0.12之間的iTerm的版本，建議用戶升級到至少3.0.13版本，在那裏他們可以通過將禁用DNS查找首 ⋙ 高級 ⋙ 語義的歷史和翻轉「 執行DNS查找，以檢查是否網址有效？ 「選項號碼。
