Mac用多機能ターミナルアプリ「iTerm 2」の”DNS Look”機能により、パスワードを含む表示されたテキストがプレーンテキストのままDNSサーバーに送られてしまう問題が確認され、開発者のGeorge Nachmanさんが最新の「iTerm 2 v3.1.1」へアップグレードする様に求めています。詳細は以下から。
オランダPowerDNS.COM BVのエンジニアPeter van Dijkさんによると、Mac用の多機能ターミナルエミュレータアプリ「iTerm 2」に、ユーザーが入力したパスワードなどがプレーンテキストの状態で誤ってDNSサーバーへ送られてしまう不具合が含まれているとして、至急iTerm 2のオプションを無効にする様に求めています(確認されたのはiTerm 2 v3.0.15およびmacOS 10.12.6)。
Just filed https://t.co/yWPLj5SRvx. If you use iTerm2, read this NOW.
— Peter van Dijk (@Habbie) 2017年9月19日
Detailed steps to reproduce the problem:
- Install iTerm
- Hover on things that remotely resemble URLs and touch Cmd
- Watch iTerm leak things in plain text over DNS
What happened: iTerm sent various things (including passwords) in plain text to my ISP’s DNS server
Please disable ‘Perform DNS lookups to check if URLs are valid?’ by default (#6050) · Issues · George Nachman / iterm2 · GitLab
問題となっているのはiTerm 2の“Perform DNS lookups to check if URLs are valid?”(DNS Lookupを利用して有効なURLをチェックする)機能で、iTerm 2のPreferencesから[Advanced] → [Semantic History]ヘ進み、問題のオプションを”NO”にする様にユーザーに求めており、セキュリティリスクやプライバシーの観点からもデフォルトで無効にすべきだとコメントしているので、iTerm 2ユーザーの方は確認してみて下さい。
Having this feature on by default is a terrible security and privacy risk. Please disable it by default. I personally never even noticed the blue vs. white on clickable links, which suggests (n=1) that usability will not be reduced that much by setting this feature disabled by default.
Please disable ‘Perform DNS lookups to check if URLs are valid?’ by default (#6050) · Issues · George Nachman / iterm2 – GitLab
追記
iTerm 2のどのバージョンでこの問題が発生しているかまでは追いきれていませんが、イギリスのセキュリティ研究者Adamさんによると報告されたバージョン「iTerm 2 v3.0.15」では再現できたそうです。
Urgh, good find! Recreated on 3.0.15 holding down CMD and mouse over. pic.twitter.com/8t0NB2gEfc
— Adam (@_xpn_) 2017年9月19日
追記2
iTermの開発者George Nachmanさんによると、本日(現地時間2017年09月19日)リリースした「iTerm 2 v3.1.1」ではこのオプションがデフォルトで”NO”になったそうです。コメント欄でご指摘ありがとうございます。
Version 3.1.1 is almost the same as 3.1.0, but includes a security patch to disable undesirable DNS requests that could leak user data. See the details here: https://gitlab.com/gnachman/iterm2/wikis/dnslookupissue
コメント
3.1.1で早速デフォルトオフになったみたい
https://gitlab.com/gnachman/iterm2/wikis/dnslookupissue
Build 3.1.beta.10だけど、「Yes」になってた。ありがとう。
Sematic HistoryではなくSema”n”tic Historyですね
さっき起動したら自動アップデート後にBuild 3.1.2.beta.1になり、確認したらデフォルトでNOになってました。
typo: [Advanced] → [Sematic History]
ご指摘ありがとうございます。先程該当箇所修正したのでキャッシュクリア後に修正されると思われます。
type:Sematic → Semantic
[…] 詳しくはこちらの記事に書かれています。 https://applech2.com/archives/20170920-iterm-2-dns-lookup-issue.html iTerm2で入力されたパスワードが平文でDNSサーバに送られてしまう不具合のようです。 対処 […]
GitLabに投稿された issue を読むと「Cmdを押しながらテキストをホバーすると表示内容がDNSに送られる」という話なので、「入力されたテキスト」と言うより「表示されたテキスト」の方が正確かと思われます。
顧客からiTerm2の使用禁止令が出るなど、過剰反応とも取れる対応が一部の開発者から報告されているようです。確かにこの「機能」は一般に有害と思われるもので、例えばpwgen等のツールを使用してパスワードを生成してコピペする時などにこの機能が発動すると本当にパスワードがリークするので重大な不具合ではありますが、ニュース記事のタイトルしか読まない読者が多いことを考えると、誤解を防ぐためにタイトルの変更を行うことが妥当かと思われます。
ご指摘ありがとうございます。
確かにDNS LookupはiTerm 2の不具合ではなく正しいプロセスなのでタイトルを一部修正しました。まだ問題がありましたらご指摘いただければ幸いです。
>Mac用ターミナルアプリ「iTerm 2」に入力されたパスワードやテキストが誤ってDNSサーバーに送られてしまう不具合が確認される。
→
>Mac用ターミナルアプリ「iTerm 2」の機能により、パスワードを含む表示されたテキストがDNSサーバーに送られてしまう問題が確認される。
PS.タイトル等はWordpressのキャッシュクリア後に修正されますので、しばらくお待ち下さい。
iTermじゃなくてiTerm 2のv3.0.15ね。