El incidente describe una vulnerabilidad crítica en iTerm2 que permite la ejecución arbitraria de código simplemente al mostrar un archivo de texto malicioso (ej. cat readme.txt). La causa raíz es una falla de confianza fundamental: iTerm2 acepta secuencias de escape de protocolo SSH conductor (DCS 2000p y OSC 135) de cualquier salida de terminal, sin verificar si la fuente es realmente una sesión de conductor SSH legítima. Esto permite que una salida de terminal no confiable (como el contenido de un archivo) se haga pasar por el conductor remoto.
La cascada de fallo se inicia cuando el archivo malicioso imprime secuencias de escape que simulan el inicio de una sesión de conductor y respuestas a las solicitudes iniciales de iTerm2 (como getshell() y pythonversion()). iTerm2, creyendo que está interactuando con un conductor real, procede con su flujo de trabajo normal, que incluye la construcción y envío de un comando run(...). El atacante manipula los sshargs dentro del DCS 2000p forjado para que, cuando iTerm2 codifica en base64 el comando run, una parte específica del payload base64 resultante se convierta en una ruta de archivo ejecutable válida (ace/c+aliFIo).
Las salvaguardas fallaron porque iTerm2 no aisló ni validó adecuadamente la fuente de las secuencias de escape del protocolo. La suposición de que solo el conductor SSH legítimo generaría estas secuencias fue incorrecta. Cuando iTerm2 escribe su comando base64-encoded run al PTY, en ausencia de un conductor SSH real, el shell local lo recibe como entrada. Si la última parte del comando base64-encoded coincide con un ejecutable local (previamente colocado por el atacante), el shell lo ejecuta, logrando la ejecución de código arbitrario. La confusión del PTY es clave: iTerm2 envía comandos al PTY, esperando que SSH los reenvíe, pero en el escenario de explotación, el shell local los interpreta directamente.