Уязвимостта BatBadBut, засягаща стандартните библиотеки на различни програмни езици

Приложения, изпълняващи скриптове в формата bat и cmd на платформата Windows с помощта на стандартните функции за стартиране на процеси, са податливи на уязвимост, която позволява изпълнението на произволен код, ако при стартиране се предоставят аргументи без отделно екраниране на специалните символи. Уязвимостта получи кодовото име BatBadBut и се проявява в приложения, използващи стандартни библиотеки на езици като Rust, PHP, Node.js, Python, Ruby, Go, Erlang и Haskell.

Проблемът е обозначен като уязвимост, тъй като засяга функции на библиотеката, като Command::arg и Command::args в Rust, предназначени за директно предаване на аргументи на процеса, без обработка от командния интерпретатор. Предполага се, че разработчикът на приложението може да не проверява аргументите, тъй като те се предават директно на стартирания процес. В Unix системите аргументите се предават на процеса поотделно в масив, докато в Windows при използване на API CreateProcess аргументите се подават като един единствен низ, чието разбиране пада върху стартирания процес.

При стартиране на bat- и cmd-скриптове на платформа Windows, функцията CreateProcess() неявно привлича изпълним файл cmd.exe, дори ако приложението не го указва при извикване. Програмата cmd.exe съдържа собствена сложна логика за разделяне на аргументи, за да обособи собствените си аргументи, аргументите на стартирания скрипт и аргументите на този скрипт. За защита от замяна на аргументи на платформата Windows в стандартните библиотеки на програмните езици се използват отделни обработчици за екраниране, които, оказа се, могат да бъдат заобиколени чрез манипулация с двойни кавички.

Например, в програма, която извиква скрипт ‘.\/test.bat’ с аргумент, основаващ се на данни, получени от потребителя, атакуващият може да подаде стойност ‘»&calc.exe’, която при стартиране на скрипта ще се разшири до низа ‘C:\Windows\System32\cmd.exe \/c .\test.bat «»&calc.exe»‘ и ще доведе до стартиране на процес calc.exe. Методът работи и при неявно стартиране на скриптове, когато се стартира изпълним файл с име „test“ без указване на разширение, а в една от директориите, упоменати в променливата на средата PATH, се намира файл „test.bat“.

В момента вече е издадено решение (CVE-2024-24576) за стандартната библиотека на езика Rust и е включено в обновлението Rust 1.77.2. В процес на подготовка са актуализации за отстраняване на уязвимостта за Node.js и PHP (теглата 8.2.18 и 8.3.5 вече са публикувани, но изданията все още не са обявени). Проектите на Python, Ruby, Go, Erlang и Haskell засега са ограничени до добавяне на предупреждение в документацията относно проявата на уязвимостта при липса на адекватно екраниране на специални символи.

В Rust 1.77.2 в стандартната библиотека е добавена допълнителна проверка, която връща грешка при наличие на специални символи в аргумента на изпълнявания скрипт, което не може да се гарантира безопасно да се екранира. За разработчиците, които самостоятелно реализират логиката на екраниране, е предоставен методът CommandExt::raw_arg, който напълно изключва екранирането на страната на библиотечните извиквания.

Добавянето на защита се затруднява от факта, че простото екраниране на двойни кавички не е достатъчно, тъй като командният интерпретатор обработва и разкрива променливи, като например «%PATH%». Например, кавичката може да бъде добавена чрез манипулация с променливата на околната среда «%CMDCMDLINE%», посочвайки вместо ‘»&calc.exe’ — ‘%CMDCMDLINE:~-1%&calc.exe’.

Източник: opennet.ru