iTerm2通过DNS请求泄漏您终端中的一切
iTerm2是一个受欢迎的Mac应用程序，作为苹果官方终端应用程序的替代品，几分钟前刚刚收到一个安全修复程序，用于通过DNS请求泄露终端内容的严重安全问题。
版本3.1.1禁用在iTerm 3.0.0中添加的功能，默认情况下已打开。此功能可在iTerm2的“执行DNS查找以查看URL是否有效”中找到。设置。
在版本3.0.0中引入，当悬停在iTerm2终端内的任何内容时，该功能将会观看用户的鼠标。当鼠标停止一个字时，iTerm2将尝试确定该字词是否是有效的URL，并将该术语突出显示为可点击的链接。
为了避免通过使用不准确的字符串模式匹配算法创建死链接，该功能将改为使用DNS请求，并确定该域是否真实存在。
iTerm意外地将密码，API密钥发送到DNS服务器
这种行为是一个巨大的隐私问题，当用户将鼠标悬停在密码，API密钥，用户名或其他敏感内容上时，会不经意地通过DNS请求泄漏此信息。
DNS请求是明文通信，意味着任何能够拦截这些请求的用户都可以访问用户在他的iTerm终端中悬停的数据。
根据该应用的官方网站，iTerm2 3.0.0于2016年7月4日发布，表明许多用户在不知情的情况下将敏感内容泄露给DNS服务器超过一年。
iTerm2维护者道歉
iTerm2的泄漏问题是十个月前首次发现。iTerm2的创建者最初通过向iTerm 3.0.13添加了一个选项，允许用户禁用DNS查找。默认情况下，新功能和现有安装功能仍然启用该功能。
荷兰开发人员Peter van Dijk，开源DNS软件和DNS管理服务供应商PowerDNS的软件工程师，重新报告了这一功能，而在这一次，他指出，第一个错误报告中没有包含一些严重的隐私泄漏。
“iTerm将纯文本中的各种东西（包括密码）发送到我的ISP的DNS服务器，”van Dijk在今天早些时候提交的错误报告中写道。
这一次，iTerm2的维护者George Nachman马上就了解了这个问题的严重性，并发布了iTerm2 3.1.1来解决这个问题。他还默认启用此功能表示歉意，而无需更深入地分析可能的后果。
Nachman写道：“我没有借口：我只是没有足够的思考这个问题，我对此表示歉意，并承诺将来会更加小心。” “你的隐私永远是我的最高优先事项。”
安监调查也受到影响
除了可能泄露敏感内容（如密码和API密钥）外，还有另一个负面的功能。
一个名叫ewaher的用户首先发现了这个bug的行为，用户不应该通过DNS查询域名，以确定它们是否在iTerm中被突出显示。
他补充说：“目前的行为可能会危及安全分析师或事件响应者的调查，通过在iTerm中无意中查询URL。” 黑客/攻击者通常会监控这些调查员的攻击基础设施，以及来自目标网络的这些类型的查询。“
根据iTerm2更改日志，版本3.1.1“包括一个安全修补程序来禁用可能泄露用户数据的不必要的DNS请求。
使用3.0.0和3.0.12之间的iTerm的版本，建议用户升级到至少3.0.13版本，在那里他们可以通过将禁用DNS查找首 ⋙ 高级 ⋙ 语义的历史和翻转“ 执行DNS查找，以检查是否网址有效？ “选项号码。
