CVE-2026-33642 in kitty
Zusammenfassung
von VulDB • 20.05.2026
Kitty ist eine plattformübergreifende, GPU-basierte Terminalanwendung. In den Versionen 0.46.2 und älter führt die Funktion `handle_compose_command()` in `kitty/graphics.c` eine Gültigkeitsprüfung der Kompositionsverschiebungen (composition offsets) unter Verwendung von vorzeichenloser 32-Bit-Arithmetik durch, die anfällig für Integer-Wrapping ist, was potenziell zu einem Heap Buffer Over-Read/Write führen kann. Ein Angreifer, der Escape-Sequenzen in ein Kitty-Terminal schreiben kann (z. B. über eine schadhafte Datei, ein SSH-Login-Willkommensbanner oder gepipete Inhalte), kann speziell angefertigte Werte für `x_offset`/`y_offset` bereitstellen, die die Gültigkeitsprüfung nach dem Wrapping bestehen, jedoch massive Out-of-Bounds-Zugriffe auf Heap-Speicher in `compose_rectangles()` verursachen. Keine Benutzerinteraktion ist erforderlich. Keine Konfiguration außerhalb der Standardeinstellungen ist erforderlich. Der Angreifer benötigt lediglich die Fähigkeit, Ausgaben in einem Kitty-Terminalfenster zu erzeugen. Dieses Problem wurde in Version 0.47.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.