关键漏洞信息 CVE ID: CVE-2022-45063 漏洞描述: 问题：xterm 在处理字体操作 (font ops) 时存在的代码执行漏洞。 受影响版本：xterm 在patch 375之前版本。 影响：在特定条件下，攻击者可以利用此漏洞实现远程代码执行。 修复措施: 更新：升级到xterm patch #375。 - 下载链接 缓解措施: 设置X资源： 漏洞细节: 在OSC 50序列中，如果指定的字体不存在，虽然不会设置字体，但查询会返回已经设置的字体名。如果包含控制字符，还可以返回其他字符串。 - 攻击者可以利用 字符将响应字符串发送回终端，并以 结束，形成回显文本的原始机制。 - 在某些配置下，如Zsh的vi line editing模式中，通过 (通常与 关联的 ) 执行命令，无需按下回车即可执行命令。 利用方法示例: 通过以下命令预配置并发送包含恶意字符串的数据包: 防护建议: Debian、Red Hat等默认禁用字体操作，但用户可通过配置重新启用。 上游xterm默认不禁用，某些发行版可能存在易受攻击的默认配置。