在 iTerm2 3.6.9 之前的版本中，显示 .txt 文件可能通过 DCS 2000p 和 OSC 135 数据导致代码执行，如果工作目录包含一个恶意文件，其名称是导管输出的有效结果。

攻击者可以利用此漏洞在受影响的 iTerm2 实例上执行任意代码。攻击流程通常涉及创建一个恶意的 .txt 文件，其文件名经过精心设计，能够绕过 iTerm2 的安全检查，并触发代码执行。攻击者可以通过这种方式控制受感染的系统，窃取敏感信息，或进行进一步的恶意活动。由于 iTerm2 广泛应用于 macOS 环境，该漏洞的潜在影响范围较大，可能导致数据泄露、系统破坏等严重后果。该漏洞的利用方式类似于通过 SSH 协议进行的代码注入攻击。

Users of iTerm2 who frequently handle files from untrusted sources or operate in environments where malicious files could be introduced are at higher risk. Developers and system administrators using iTerm2 for sensitive tasks, such as SSH key management or code deployment, should prioritize patching.

• macos / terminal:

ps aux | grep iTerm2

• macos / terminal: Monitor iTerm2's process list for unexpected child processes. • macos / file system: Check the working directory for suspicious .txt files with names containing 'ace/c+'. • macos / file system: Examine iTerm2's preferences for any unusual conductor protocol settings. • macos / system: Review system logs for any errors or warnings related to iTerm2 or the SSH conductor protocol.

1. 2026-04-18Disclosure

   disclosure

1. 已保留2026-04-18
2. 发布日期2026-04-18
3. 修改日期2026-04-20
4. EPSS 更新日期2026-04-25

缓解此漏洞的最佳方法是升级到 iTerm2 的最新版本。iTerm2 团队正在积极开发修复程序，建议用户及时更新以获取最新的安全补丁。如果无法立即升级，可以尝试限制 iTerm2 的工作目录，避免在可写目录中放置敏感文件。此外，可以考虑使用防火墙或入侵检测系统来监控 iTerm2 的网络流量，并检测可疑活动。虽然没有特定的 WAF 规则或 Sigma 规则，但监控 iTerm2 进程的活动和文件系统变化可以帮助检测潜在的攻击。