--- title: "iTerm2 3.7.7beta2 未満 CVE-2026-123014: 細工した x-man-page: URL を開くだけで任意コマンド実行の恐れ（CVSS v4 8.7）" url: https://n-t-p.io/worldsecurity/articles/iterm2-cve-2026-123014-x-man-page-url-argument-injection lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-123014 --- # iTerm2 3.7.7beta2 未満 CVE-2026-123014: 細工した x-man-page: URL を開くだけで任意コマンド実行の恐れ（CVSS v4 8.7） > **TL;DR:** iTerm2 3.7.7beta2 未満で、細工した x-man-page: URL を開くと、引数の差し込みにより任意のコマンドを実行される恐れがある。CVSS v4 8.7。正式版の修正版番号は未確認。 **要点** - x-man-page: URL の %00 が検査をすり抜け、man への引数（-P でページャー指定）を差し込める（CVE-2023-46321 の修正漏れ）。ユーザーの権限でコマンド実行。 - 認証不要だがユーザーが URL を開く操作が必要・CVSS v4 8.7 のため high。KEV 掲載なし、EPSS は未付与。 - 修正は 3.7.7beta2（許可リスト方式の検査を追加）。正式版の修正版は未確認。更新と、不審なリンクを開かない運用が考えられる。 - 悪用の有無・PoC・利用規模・NVD の最終評価は未確認。 iTerm2（macOS 向けターミナルアプリ）の 3.7.7beta2 より前の版に、細工した `x-man-page:` URL を開かせることで、ログイン中のユーザーの権限で任意のコマンドを実行できる欠陥が登録されました（CVE-2026-123014）。NVD への登録は 2026-11-05（状態は Received）です。CVSS は CVE の登録元（MITRE）が付けた値で、NVD 自身の最終評価はまだありません。 ## 何が起きるか - iTerm2 は `x-man-page:` という URL を受け取ると、macOS の `/usr/bin/man` を呼び出してマニュアルを表示します。 - この URL に「パーセントエンコードした NUL 文字（%00）」を混ぜると、入力の検査をすり抜けます。その後、コマンドラインを組み立てる段階で NUL が空白に変わるため、攻撃者が追加の引数を差し込めます。 - 差し込める引数の例が `-P` です。`man` のページャー（表示用プログラム）を攻撃者が指定したコマンドに差し替えられ、ユーザーの権限で実行されます。 - 悪用には、ユーザーが細工した URL を開くことが必要です（ウェブページのリンクなど）。 - 弱点は、2023 年の CVE-2023-46321 の修正が不完全だったために残っていたものとされています。 ## 数値と severity - CVSS v4.0: 8.7（HIGH、AV:N/AC:L/AT:N/PR:N/UI:P、機密性・完全性・可用性すべて高）。 - 認証は不要ですが、ユーザーが URL を開く操作（UI:P）が必要で、評価は 9 未満です。基準どおり severity は high とします。 - CISA の KEV には載っていません（確認時点の公開カタログ）。EPSS は登録直後のため未付与でした（FIRST の API で確認）。 ## 修正の状況 - 修正は 3.7.7beta2 で入ったとされています（それより前の版が対象）。製品のダウンロードページと、開発元の GitLab にある修正コミットが参照先に挙がっています。 - 修正コミットには、`x-man-page:` の引数を許可リスト方式で検査するテストが含まれています。先頭がハイフンの引数、スラッシュ、制御文字、シェルの記号、非 ASCII 文字を拒否する内容です。 - 3.7.7beta2 より前に出た正式版のうち、どこまでが影響を受けるか（正式版の修正版番号）は今回確認できていません。 ## 対策として考えられること 1. iTerm2 を使っている場合は、修正を含む版（3.7.7beta2 以降）へ更新します。正式版の修正版が出ているかは、ダウンロードページで確認してください。 2. 更新できるまでは、信頼できないリンクやウェブページから iTerm2 を開かせない運用にします。ブラウザやメールから外部アプリの URL を開く前の確認画面を有効にしておく方法も考えられます（有効性は未確認で、推定です）。 3. 出所の分からない `x-man-page:` リンクは開かないようにします。 ## 未確認の点 - 影響を受ける版の下限と、正式版での修正版番号。 - 実際の悪用の有無、公開された概念実証（PoC）の有無。 - 利用規模と、実際にどこまで攻撃が通るか。 - NVD の最終評価（現在は登録元の評価のみ）。 ## 出典 - [NVD CVE-2026-123014](https://nvd.nist.gov/vuln/detail/CVE-2026-123014) — NIST NVD - [iTerm2 ダウンロードページ](https://iterm2.com/downloads.html) — iTerm2 - [iTerm2 修正コミット（x-man-page: URL の検査）](https://gitlab.com/gnachman/iterm2/-/commit/314ba43920dbce08808c032e89966918090bdf8e) — iTerm2 開発元（GitLab） - [FIRST EPSS API](https://api.first.org/data/v1/epss?cve=CVE-2026-123014) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/iterm2-cve-2026-123014-x-man-page-url-argument-injection