BatBadBut haavatavus, mis mõjutab mitmete programmeerimiskeelte standardteeke

Windows platvormil bat- ja cmd-formaadis skripte käivitavad rakendused, mis kasutavad protsesside käivitamise tavalisi funktsioone, on haavatavad viga, mis võimaldab ründajal oma koodi käivitada, kui käivitamisel edastatakse argumente ilma spetsiaalsete märkide eraldamiseta. See haavatavus sai koodinimeks BatBadBut ja ilmneb rakendustes, mis kasutavad standardraamatukogusid sellistes keeltes nagu Rust, PHP, Node.js, Python, Ruby, Go, Erlang ja Haskell.

Probleem on märgitud haavatavusena, kuna see puudutab raamatukogu funktsioone, nagu Command::arg ja Command::args Rustis, mis on mõeldud argumentide edastamiseks protsessile ilma nende töötlemise command interpreteriga. Eeldatakse, et rakenduse arendaja ei pruugi argumente kontrollida, kuna need edastatakse otse käivitatavale protsessile. Kui Unix-süsteemides edastatakse argumendid protsessile eraldi massiivis, siis Windowsis, kui kasutatakse API CreateProcess, edastatakse argumendid ühe stringina, mille analüüs lasub käivitataval protsessil.

Windows platvormil bat- ja cmd-skripte käivitades kutsub CreateProcess() vaikimisi esile executabler cmd.exe, isegi kui rakendus ei määranud seda kutse ajal. Programm cmd.exe sisaldab oma keerukat argumentide eraldamise loogikat, et eristada oma argumente, käivitatavat skripti ja selle skripti argumente. Windows platvormi standardraamatukogudes kasutatakse argumentide asendamise kaitseks eraldi eraldamisprotseduuride, mille võib osutuda võimalikuks kõrvale juhtida topeltkoodide manipuleerimise kaudu.

Näiteks rakenduses, mis kutsub skripti ‘./test.bat’ argumentiga, mis põhineb kasutajalt saadud andmetel, võib ründaja saata väärtuse ‘»&calc.exe’, mis käivitamisel lahti muudetakse stringiks ‘C:\Windows\System32\cmd.exe /c .\test.bat «»&calc.exe»‘ ja käivitab protsessi calc.exe. Meetod kehtib ka kaudse käivitamise korral, kui käivitatakse käideldav fail nimega «test» ilma laiendita ja ühes PATH keskkonnamuutuja mainitud kataloogis on fail «test.bat».

Praegu on välja antud turvaparandus (CVE-2024-24576) Rusti keele standardraamatukogu jaoks ja see on osa Rust 1.77.2 uuendusest. Node.js ja PHP jaoks on välja töötamisel turvaparandused (versioonid 8.2.18 ja 8.3.5 on juba sildistatud, kuid väljalasked pole veel kuulutatud). Python, Ruby, Go, Erlang ja Haskell projektid on seni dokumentatsioonis lisanud hoiatuse, et haavatavust võib esineda, kui erimärke ei ole nõuetekohaselt kontrollitud.

Rust 1.77.2-sse on lisatud täiendav kontroll standardraamatukogus, mis tagastab vea, kui skripti käivitamise argumendis on erimärke, mida ei saa turvaliselt kontrollida. Arendajatele, kes rakendavad oma otsustuskäigu logikat, on antud meetod CommandExt::raw_arg, mis keelab täielikult kontrollimise raamatukogu kõnede poole.

Kaitse lisamise takistuseks on see, et lihtne topeltlainete märkide kontrollimine ei ole piisav, kuna käsurea interpreteerija töötleb ja avab muutujaid, nagu '%PATH%'. Näiteks on võimalik märk sisestada keskkonnamuutuja '%CMDCMDLINE%' manipuleerimise kaudu, nimelt, määrates '"&calc.exe' asemel '%CMDCMDLINE:~-1%&calc.exe'.

Allikas: opennet.ru