在 MacOS 上流行的终端模拟器 iTerm2 中发现了一个严重的安全漏洞（CVE-2025-22275 (CVSS 9.3)）并打上了补丁。该漏洞存在于 3.5.6 至 3.5.10 版本以及 3.5.6 及更高版本的测试版中，可能导致未经授权访问敏感用户数据。

CVE-2025-22275 漏洞源于 SSH 集成功能中的一个错误，它无意中将用户输入和输出记录到远程主机上的一个文件 (/tmp/framer.txt)。同一主机上的其他用户可以读取该文件，从而可能暴露密码、私钥或 SSH 会话期间传输的机密数据等敏感信息。

iTerm2 开发人员 George Nachman 在发布 3.5.11 版本时发表声明说：“我对这一错误深表遗憾，并将采取措施确保这种情况不再发生。纳赫曼确认，在 SSH 集成功能中负责写入日志文件的代码已被删除，不会再重新引入。”

谁有风险？

使用受影响版本中的 SSH 集成功能并连接到安装了 Python 3.7 或更高版本的远程主机的用户可能面临风险。这包括那些

• 使用 it2ssh 命令。
• 使用 “SSH ”命令选项配置 iTerm2 配置文件以使用 SSH 集成。

需要采取紧急行动

强烈建议 iTerm2 用户立即更新至 3.5.11 版。此外，必须删除任何可能受影响的远程主机上的 /tmp/framer.txt 文件，以防止未经授权访问记录的数据。