Популярный терминал iTerm2 «сливал» данные пользователей в Сеть

Новая версия 3.1.1 отключает функцию проверки валидности URL-адресов, встроенную и включенную по умолчанию в iTerm2. Эта проверка работала в автоматическом режиме: при наведении курсора мыши на строку она либо подсвечивалась как валидная ссылка, и по ней можно было перейти, либо оставалась обычным текстом.

Как данные попадали в сеть?

Приложение каждый раз создавало DNS-запрос с текстом, над которым был курсор мыши, и проверяло, действительно ли существует такой домен, отправляя запрос на DNS-серверы. Главная опасность заключается в том, что пользователь может случайно оставить курсор мыши над паролями, ключами API или же просто приватными данными, которые в итоге отправятся на серверы в виде текста. Любой злоумышленник может «подслушать» такой запрос, даже не столкнувшись с каким-либо видом шифрования.

Согласно статистике официального сайта приложения, версия 3.0.0 была выпущена ещё в июле 2016 года. Это означает, что больше года персональные данные пользователей по случайности и ошибке разработчиков просто «утекали» на сторонние серверы.

Реакция компании-разработчика

Первые проблемы с поведением приложения были обнаружены ещё 10 месяцев назад. Разработчики сразу выпустили новую версию 3.0.13, в которой появилась возможность отключения функции проверки валидности URL-адресов, включенной по умолчанию. Однако только спустя год после выпуска «опасной» версии приложения и после баг-репорта голландского разработчика Питера ван Дейка компания выпустила новую версию, в которой данная функция была полностью отключена. Джордж Нахман, один из программистов проекта iTerm2, принёс свои официальные извинения:

Мне нет оправданий. Я просто не придал значения возможной глубине вопроса введения подобной функции. Я прошу прощения за то, что не до конца понял проблему, и обещаю впредь быть более аккуратным. Ваша конфиденциальность всегда будет моей главной задачей.

Пользователям, владеющим iTerm2 версий с 3.0.0 по 3.0.12, настоятельно рекомендуется обновить приложение хотя бы до версии 3.0.13, в которой есть возможность отключения функции проверки валидности: перейдите в пункт меню Preferences ⇒ Advanced ⇒ Semantic History и переведите ползунок Perform DNS lookups to check if URLs are valid? в положение No.