CVE-2026-45036 in tabby
要約
〜によって VulDB • 2026年05月15日
Tabby（旧称 Terminus）は、高度にカスタマイズ可能なターミナルエミュレータです。バージョン 1.0.233 より前の Tabby では、ユーザーの操作なしにすべてのターミナルセッション出力に対して ZMODEM プロトコルの検出を自動的に確認するため、攻撃者が制御するコンテンツをユーザーが表示した際にシェルコマンドの実行が可能になります。tabby-terminal の ZModemMiddleware は、Zmodem.Sentry を通じてすべてのセッション出力を消費し、ZMODEM ZRQINIT ヘッダーが検出されると、無条件に detection.confirm() を呼び出し、固定された ZRINIT 応答（**\x18B0100000023be50\r\n\x11）をアクティブな PTY に入力として書き込みます。検出をトリガーしたプロセス（例：cat）が終了すると、注入されたバイト列はユーザーのシェルによってコマンドラインとして消費されます。fish（デフォルト設定）では、** プレフィックスが現在のディレクトリに対して再帰的なグロブ展開をトリガーし、一致するネストされたパス（例：d/xB0100000023be50）に配置された攻撃者による実行可能ファイルを、PATH への依存なしに相対パス名で実行することを可能にします。bash および zsh では、同じファイル内で二次的な xterm.js ターミナルのカラークエリフィードバック（OSC 10）と組み合わせることで、スラッシュを含むコマンドワードを注入し、同様に PATH 解決をバイパスすることができます。攻撃者は、ユーザーが cat で表示するよう仕掛けられたファイル（例：複製された Git リポジトリ内）を提供することで、ファイルを表示する以外の操作なしにコード実行を達成できます。この脆弱性は 1.0.233 で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.