Vulnérabilité dans Xterm

Date de publication :

CVE-2021-27135[Score CVSS v3 : 9.8] : Une faille a été trouvée dans Xterm. Un attaquant distant et non-authentifié peut potentiellement injecter du code arbitraire sur le dispositif vulnérable via l’envoi d’une séquence de combinaison de caractères UTF-8 spécialement conçue.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Injection de code arbitraire

Criticité

  • Score CVSS v3 : 9.8

Existence d’un code d’exploitation

  • Aucun code d‘exploitation n’est disponible à l’heure actuelle.

Composants vulnérables

  • Les versions de Xterm antérieures au patch 366 sont considérées comme impactées par cette vulnérabilité.

CVE

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour Xterm vers le patch 366.

Solution de contournement

  • Cette vulnérabilité peut être atténuée en désactivant le support UTF-8 dans la configuration XTerm. Une entrée telle que "XTerm.vt100.utf8 : false" dans Xresources désactivera l'UTF-8. Cela peut être défini comme une valeur par défaut du système dans /etc/X11/Xresources, ou par utilisateur dans ~/.Xresources.

  • Notez que ce paramètre peut toujours être écrasé si Xterm est invoqué avec l'option de ligne de commande "-u8", de sorte que cette mesure peut ne pas protéger tous les cas d'utilisation.

Liens