BatBadBut
📌Идентификация уязвимости: Критическая уязвимость идентифицируется как «BatBadBut» CVE-2024-24576
📌Уязвимое ПО: Уязвимость существует в стандартной библиотеке Rust и, в частности, затрагивает системы Windows
📌Степень критичности: присвоена наивысшая оценка по шкале CVSS, равная 10,0, что указывает на максимальную степень тяжести
📌 Подробная информация: Уязвимость возникает из-за того, что стандартная библиотека Rust неправильно экранирует аргументы при вызове пакетных файлов в Windows с использованием командного API. Это может позволить злоумышленнику выполнять произвольные команды оболочки, обходя экранирующий интерфейс.
📌Условия: выполнение команды в Windows, команда не указывает расширение файла или использует .bat или .cmd, команда содержит управляемый пользователем ввод в качестве части аргументов команды, а среда выполнения не может должным образом обработать аргументы команды для cmd.exe
📌Уязвимые версии: Все версии Rust для Windows до версии 1.77.2 подвержены этой уязвимости
📌Воздействие: Уязвимость также затрагивает другие языки программирования, включая Erlang, Go, Haskell, Java, Node.js, PHP, Python и Ruby, хотя исправления выпущены не для всех из них
📌Рекомендации по устранению: Пользователям рекомендуется перемещать пакетные файлы в каталог, не указанный в переменной среды PATH, чтобы предотвратить непредвиденное выполнение. Разработчикам следует перейти на версию Rust 1.77.2, чтобы устранить уязвимость
📌Обнаружение и отчетность: Уязвимость была обнаружена инженером по безопасности из Flatt Security, известным как RyotaK, и передана в Координационный центр сертификации (CERT/CC).
📌Ответ от Rust: Rust признала проблему и с тех пор улучшила надежность экранирующего кода и модифицировала командный API, чтобы возвращать ошибку InvalidInput, если аргумент не может быть безопасно экранирован
📌Реакция разработчиков других языков: Разработчики Haskell, Node.js, PHP и yt-dlp выпустили исправления для устранения ошибки, связанной с внедрением команд
Vkontakte
Twitter
Одноклассники
