Investigadores de ciberseguridad, en colaboración con OpenAI, han descubierto una vulnerabilidad fascinante y grave en iTerm2, un emulador de terminal muy utilizado en macOS.

Según Califio, el fallo explota la función de integración SSH de la aplicación, permitiendo a los atacantes convertir un texto aparentemente inofensivo en ejecución remota de código (RCE) local.

Simplemente visualizar un archivo de texto maliciosamente diseñado puede activar el exploit. Para entender cómo funciona este ataque, es útil conocer la integración SSH de iTerm2.

En lugar de escribir comandos directamente en un shell remoto, iTerm2 despliega un pequeño script auxiliar, el "conductor", en la máquina remota.

Este script se comunica con iTerm2 para coordinar tareas como descubrir el shell de inicio de sesión, cambiar directorios y subir archivos. Lo crucial es que este protocolo no utiliza un servicio de red independiente.

El equipo de investigación de Califio explica que el script conductor opera dentro de la sesión del shell remoto, y toda la comunicación se realiza a través de la entrada/salida (I/O) normal del terminal mediante el pseudoterminal (PTY).

La vulnerabilidad surge de un fallo fundamental de confianza. iTerm2 acepta el protocolo SSH conductor desde cualquier salida del terminal, incluso si no proviene de una sesión verificada y confiable.

Esto significa que una salida de terminal no confiable puede suplantar al conductor remoto utilizando secuencias de escape específicas del terminal:

• DCS 2000p se usa para falsificar un enlace con el SSH conductor.
  
• OSC 135 se emplea para enviar respuestas y mensajes falsos a iTerm2.

Si un atacante oculta estas secuencias en un archivo de texto, una respuesta de servidor o un Mensaje del Día (MOTD), al renderizar ese texto se activa el fallo.

Por ejemplo, simplemente ejecutar cat readme.txt en un archivo comprometido imprimirá las secuencias falsificadas en pantalla, engañando a iTerm2 para que crea que ha iniciado un intercambio legítimo de integración SSH.

Confusión de PTY y explotación

Califio destaca que, una vez que iTerm2 acepta el enlace falso del conductor, automáticamente inicia su flujo de trabajo estándar, enviando solicitudes para verificar entornos de shell y versiones de Python.

Como el archivo de texto malicioso actúa como una transcripción falsa, proporciona a iTerm2 respuestas precisas que lo llevan por su ruta de ejecución alternativa.

Creyendo que se está comunicando con un servidor remoto, iTerm2 construye una solicitud de ejecución de comandos usando sshargs controlados por el atacante, escribiendo los comandos en el PTY como cadenas codificadas en base64.

Sin embargo, como no hay una conexión SSH real que dirija los datos a una máquina remota, el shell local recibe estos comandos base64 como entrada local.

El exploit depende de formatear cuidadosamente la carga útil de sshargs para que el fragmento final codificado en base64 se traduzca en una ruta de archivo local válida, como ace/c+aliFIo.

Si el atacante coloca una carga útil ejecutable en esa ruta relativa específica, el terminal interpreta la cadena base64 como un comando local y, sin saberlo, ejecuta el malware.

Califio reportó el fallo a iTerm2 el 30 de marzo, y se corrigió al día siguiente, aunque aún no ha llegado a las versiones estables.

Hasta que la versión parcheada se distribuya al público, debes tener extrema precaución al leer archivos de texto no confiables o conectarte a servidores SSH desconocidos, ya que estos pueden contener salidas de terminal maliciosas.