BatBadBut haavatavus, mis mõjutab erinevate programmeerimiskeelte standardraamatukogusid

Windowsi platvormil bat- ja cmd-formaadis skripte käivitavad rakendused, mis kasutavad protsesside käivitamise standardfunktsioone, on haavatavad haavatavuse tõttu, mis võimaldab koodi täitmist, kui käivitamisel edastatakse argumente ilma eraldi eraldamiseta erimärkidest. See haavatavus on saanud koodinimeks BatBadBut ja see ilmneb rakendustes, mis kasutavad standardseid raamatukogusid sellistes keeltes nagu Rust, PHP, Node.js, Python, Ruby, Go, Erlang ja Haskell.

Probleem on klassifitseeritud haavatavuseks, kuna see mõjutab selliste raamatukogude funktsioone nagu Command::arg ja Command::args keeles Rust, mis on mõeldud argumentide edastamiseks protsessile ilma nende töötlemiseta käsurida tõlgendaja kaudu. Eeldatakse, et rakenduse arendaja ei pruugi argumente kontrollida, kuna need edastatakse otse käivitatavale protsessile. Kui Unix-süsteemides edastatakse argumendid protsessile eraldi massiivis, siis Windowsis kutsuvad API CreateProcess argumendid esile üheainsa stringina, mille parsimine jääb käivitava protsessi kanda.

Windowsi platvormil bat- ja cmd-skripte käivitades tõmbab funktsioon CreateProcess() ebamugavalt sisse täitmisfaili cmd.exe, isegi kui rakendus ei täpsusta seda kutse tegemisel. Programm cmd.exe sisaldab enda keerulist argumentide eraldamise loogikat, et eraldada oma argumendid, käivitatava skripti argumendid ja selle skripti argumendid. Windowsi platvormil argumentide asendamise vältimiseks rakendatakse programmeerimiskeelte standardsetes raamatukogudes eraldi eraldusmehhanisme, mida saab ületada kahekohaliste jutumärgid manipuleerimise teel.

Näiteks rakenduses, mis kutsub välja skripti ‘./test.bat’ kasutaja sisendandmete põhjal saadud argumendiga, võib ründaja edastada väärtuse ‘»&calc.exe’, mis käivitamisel avab skripti stringiks ‘C:\Windows\System32\cmd.exe /c .\test.bat «»&calc.exe»’ ning käivitab protsessi calc.exe. Meetod kehtib ka kaudsetel skriptide käivitamisel, kus käivitatakse täitmisfail, mille nimi on „test“, ilma laiendust täpsustamata, ja ühe PATH keskkonna muutuja mainitud katalooge jätab faili „test.bat“.

Hetkel on välja antud parandamine (CVE-2024-24576) Rusti standardraamatukogu jaoks, mis on osa Rusti uuendusest 1.77.2. Protsessis on tegemisel värskendused Node.js ja PHP jaoks, mis tegelevad haavatava koha kõrvaldamisega (sildid 8.2.18 ja 8.3.5 on juba välja määratud, kuid väljalaskmisi pole veel kuulutatud). Python, Ruby, Go, Erlang ja Haskell projektid on seni piirdunud dokumentatsioonis hoiatuse lisamisega haavatavuse ilmnemise kohta ilma nõuetekohase eraldamiseta.

Rust 1.77.2 on standardraamatukokku lisatud täiendav kontroll, mis tagastab vea, kui käivitatava skripti argumendis on erimärke, mida ei saa kindlalt ohutult eraldada. Arendajatele, kes rakendavad ise eraldusloogikat, on kergesti kätte saadav meetod CommandExt::raw_arg, mis täiesti keelab eraldamise raamatukogu kutsete küljest.

Kaitse lisamise takistuseks on, et kahekohaliste jutumärkide lihtne eraldamine ei ole piisav, kuna käsurea tõlgendaja töötleb ja avab muutujaid, nagu „%PATH%“. Näiteks saab jutumärgi asendada keskkonnamuutuja „%CMDCMDLINE%“ manipuleerimise kaudu, asendades ‘»&calc.exe’ muutuja ‘%CMDCMDLINE:~-1%&calc.exe’.

Allikas: opennet.ru