Vulnérabilité dans Xterm
Date de publication :
CVE-2021-27135[Score CVSS v3 : 9.8] : Une faille a été trouvée dans Xterm. Un attaquant distant et non-authentifié peut potentiellement injecter du code arbitraire sur le dispositif vulnérable via l’envoi d’une séquence de combinaison de caractères UTF-8 spécialement conçue.
Informations
La faille est activement exploitée :
Un correctif existe :
Une mesure de contournement existe :
Risques
- Injection de code arbitraire
Criticité
- Score CVSS v3 : 9.8
Existence d’un code d’exploitation
- Aucun code d‘exploitation n’est disponible à l’heure actuelle.
Composants vulnérables
- Les versions de Xterm antérieures au patch 366 sont considérées comme impactées par cette vulnérabilité.
CVE
Solutions ou recommandations
Mise en place de correctifs de sécurité
Mettre à jour Xterm vers le patch 366.
Solution de contournement
Cette vulnérabilité peut être atténuée en désactivant le support UTF-8 dans la configuration XTerm. Une entrée telle que "XTerm.vt100.utf8 : false" dans Xresources désactivera l'UTF-8. Cela peut être défini comme une valeur par défaut du système dans /etc/X11/Xresources, ou par utilisateur dans ~/.Xresources.
Notez que ce paramètre peut toujours être écrasé si Xterm est invoqué avec l'option de ligne de commande "-u8", de sorte que cette mesure peut ne pas protéger tous les cas d'utilisation.