{"id":114973,"date":"2024-04-10T14:30:01","date_gmt":"2024-04-10T12:30:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-batbadbut-zatragivayushhaya-standartnye-biblioteki-razlichnyh-yazykov-programmirovaniya"},"modified":"2024-04-10T14:30:01","modified_gmt":"2024-04-10T12:30:01","slug":"uyazvimost-batbadbut-zatragivayushhaya-standartnye-biblioteki-razlichnyh-yazykov-programmirovaniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimost-batbadbut-zatragivayushhaya-standartnye-biblioteki-razlichnyh-yazykov-programmirovaniya","title":{"rendered":"S\u00e5rbarheden BatBadBut, der p\u00e5virker standardbiblioteker fra forskellige programmeringssprog","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Applikationer, der k\u00f8rer scriptfiler i bat- og cmd-format p\u00e5 Windows-platformen ved hj\u00e6lp af standardfunktioner til processtart, er udsat for en s\u00e5rbarhed, der g\u00f8r det muligt at udf\u00f8re ens egen kode, hvis der sendes argumenter ved start uden korrekt escaperering af specialtegn. S\u00e5rbarheden har f\u00e5et kodeordet BatBadBut og viser sig i applikationer, der bruger standardbiblioteker fra sprog som Rust, PHP, Node.js, Python, Ruby, Go, Erlang og Haskell. <\/p>\n
Problemet er blevet identificeret som en s\u00e5rbarhed, da det p\u00e5virker biblioteksfunktioner som Command::arg og Command::args i Rust, der er designet til at overf\u00f8re argumenter direkte til processen uden at de behandles af kommandotolkeren. Det antages, at udvikleren af applikationen muligvis ikke kontrollerer argumenterne, da de overf\u00f8res direkte til den k\u00f8rte proces. I Unix-systemer sendes argumenter til processen individuelt i et array, mens argumenter i Windows ved brug af API'en CreateProcess pr\u00e6senteres som en enkelt streng, hvis opdeling hviler p\u00e5 den k\u00f8rte proces. <\/p>\n
N\u00e5r bat- og cmd-scripts k\u00f8rers p\u00e5 Windows-platformen, tilkalder funktionen CreateProcess() implicit eksekveringsfilen cmd.exe, selv om applikationen ikke angiver dette ved kaldet. Programmet cmd.exe indeholder sin egen komplekse logik til opdeling af argumenter for at skelne mellem sine egne argumenter, de k\u00f8rte scripts og argumenterne for disse scripts. For at beskytte mod argumentinds\u00e6ttelse p\u00e5 Windows anvendes separate escape-h\u00e5ndterere i standardbibliotekerne for programmeringssprog, som det viser sig, kan omg\u00e5s ved at manipulere med dobbelte citationstegn. <\/p>\n
For eksempel, i et program, der kalder scriptet '.\/test.bat' med et argument baseret p\u00e5 data indsamlet fra brugeren, kan en angriber sende v\u00e6rdien '\u00bb&calc.exe', som ved k\u00f8rsel af scriptet vil blive udvidet til strengen 'C:\\ <\/p>\n
I \u00f8jeblikket er der udgivet en rettelse (CVE-2024-24576) til sprogstandardbiblioteket Rust som en del af opdateringen Rust 1.77.2. Opdateringer til Node.js og PHP er under forberedelse (tags 8.2.18 og 8.3.5 er allerede udgivet, men udgivelserne er endnu ikke annonceret). Python, Ruby, Go, Erlang og Haskell-projekterne har indtil videre begr\u00e6nset sig til at inkludere advarsler i dokumentationen om s\u00e5rbarhed, hvis speciale tegn ikke er korrekt undsluppet. <\/p>\n
I Rust 1.77.2 er der tilf\u00f8jet en ekstra kontrol til standardbiblioteket, som returnerer en fejl ved tilstedev\u00e6relsen af specialtegn i argumenterne til det k\u00f8rende script, som ikke kan garanteres at v\u00e6re sikkert undsluppet. For udviklere, der selv implementerer undslippelseslogik, er der en metode CommandExt::raw_arg, som fuldst\u00e6ndig deaktiverer undslippelse p\u00e5 biblioteksopkaldssiden. <\/p>\n
Det er en udfordring at tilf\u00f8je beskyttelse, fordi simpel escaping af dobbelte anf\u00f8relsestegn ikke er tilstr\u00e6kkeligt, da kommandotolken behandler og udvider variabler som '\"%PATH%\". For eksempel kan man inds\u00e6tte anf\u00f8rselstegnet ved at manipulere milj\u00f8variablen '\"%CMDCMDLINE%\"', ved at angive i stedet for '\u00bb&calc.exe' \u2014 '\"%CMDCMDLINE:~-1%\"&calc.exe'. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"