Die BatBadBut-Schwachstelle, die Standardbibliotheken verschiedener Programmiersprachen betrifft.

Anwendungen, die Skripte im Format bat und cmd auf der Windows-Plattform mit den standardmäßigen Prozessstartfunktionen ausführen, sind anfällig für eine Schwachstelle, die es ermöglicht, eigenen Code auszuführen, wenn beim Start Argumente ohne separate Escapewirkung für Sonderzeichen übergeben werden. Die Schwachstelle erhielt den Codenamen BatBadBut und zeigt sich in Anwendungen, die Standardbibliotheken von Programmiersprachen wie Rust, PHP, Node.js, Python, Ruby, Go, Erlang und Haskell verwenden.

Das Problem wird als Schwachstelle bezeichnet, da es Funktionen der Bibliothek wie Command::arg und Command::args in Rust betrifft, die für die direkte Übergabe von Argumenten an den Prozess ohne deren Verarbeitung durch den Befehlsinterpreter vorgesehen sind. Es wird angenommen, dass der Entwickler der Anwendung die Argumente möglicherweise nicht überprüft, da sie direkt an den zu startenden Prozess übergeben werden. Während in Unix-Systemen die Argumente dem Prozess einzeln in einem Array übergeben werden, werden in Windows bei Verwendung der API CreateProcess die Argumente als eine einzige Zeichenfolge formatiert, deren Analyse in die Verantwortung des gestarteten Prozesses fällt.

Beim Start von bat- und cmd-Skripten auf der Windows-Plattform ruft die Funktion CreateProcess() implizit die ausführbare Datei cmd.exe auf, selbst wenn die Anwendung diese beim Aufruf nicht angibt. Das Programm cmd.exe enthält eine eigene komplexe Logik zur Argumenttrennung, um eigene Argumente, die des gestarteten Skripts und die Argumente dieses Skripts zu trennen. Um die Substitution von Argumenten auf der Windows-Plattform zu schützen, werden in den Standardbibliotheken von Programmiersprachen separate Escaping-Handler angewendet, die sich jedoch durch Manipulation mit doppelten Anführungszeichen umgehen lassen.

Beispielsweise kann in einem Programm, das das Skript ‘./test.bat’ mit einem Argument auf Basis von Benutzereingaben aufruft, ein Angreifer den Wert ‘»&calc.exe’ übergeben, der beim Start des Skripts in die Zeichenfolge ‘C:\Windows\System32\cmd.exe /c .\test.bat «»&calc.exe’ umgewandelt wird und den Prozess calc.exe startet. Diese Methode funktioniert auch beim impliziten Start von Skripten, wenn die ausführbare Datei mit dem Namen „test“ ohne Erweiterung aufgerufen wird und in einem der in der Umgebungsvariable PATH aufgeführten Verzeichnisse die Datei „test.bat“ vorhanden ist.

Derzeit wurde bereits ein Patch (CVE-2024-24576) für die Standardbibliothek der Programmiersprache Rust veröffentlicht und ist Teil des Updates auf Rust 1.77.2. Updates zur Behebung der Schwachstelle für Node.js und PHP befinden sich in Vorbereitung (die Versionen 8.2.18 und 8.3.5 sind bereits festgelegt, aber die Veröffentlichungen wurden noch nicht angekündigt). Die Projekte Python, Ruby, Go, Erlang und Haskell haben bislang lediglich Warnhinweise in der Dokumentation eingefügt, dass die Schwachstelle bei unzureichender Escaping von Sonderzeichen auftreten kann.

In Rust 1.77.2 wurde eine zusätzliche Überprüfung in die Standardbibliothek integriert, die einen Fehler zurückgibt, wenn der Argument des aufgerufenen Skripts Sonderzeichen enthält, die nicht garantierten sicher escaped werden können. Für Entwickler, die die Escaping-Logik eigenständig implementieren, steht die Methode CommandExt::raw_arg zur Verfügung, die das Escaping auf Seiten der Bibliotheksaufrufe vollständig deaktiviert.

Das Hinzufügen von Schutzmaßnahmen wird dadurch erschwert, dass einfaches Escaping von doppelten Anführungszeichen nicht ausreicht, da der Befehlsshell Variablen wie „%PATH%“ verarbeitet und enthüllt. Beispielsweise kann ein Anführungszeichen über die Manipulation mit der Umgebungsvariablen „%CMDCMDLINE%“ eingebracht werden, indem man statt ‚"&calc.exe‘ – ‚%CMDCMDLINE:~-1%&calc.exe‘ angibt.

Quelle: opennet.ru