La vulnérabilité BatBadBut, affectant les bibliothèques standard de divers langages de programmation

Les applications exécutant des scripts au format bat et cmd sur la plateforme Windows à l'aide des fonctions standard de lancement de processus sont vulnérables à une faille qui permet l'exécution de code malveillant en cas de passage d'arguments non échappés lors du lancement. Cette vulnérabilité a été nommée BatBadBut et se manifeste dans les applications utilisant les bibliothèques standard de langages tels que Rust, PHP, Node.js, Python, Ruby, Go, Erlang et Haskell.

Le problème est qualifié de vulnérabilité car il concerne des fonctions de bibliothèque, comme Command::arg et Command::args en Rust, qui sont conçues pour transmettre directement des arguments au processus, sans traitement par l'interpréteur de commandes. Il est sous-entendu que le développeur de l'application pourrait ne pas vérifier les arguments, car ils sont directement transmis au processus lancé. Alors que sous les systèmes Unix les arguments sont passés séparément au processus dans un tableau, sous Windows, lors de l'utilisation de l'API CreateProcess, les arguments sont fournis sous forme d'une seule chaîne, dont l'analyse incombe au processus lancé.

Lors du lancement de scripts bat et cmd sur la plateforme Windows, la fonction CreateProcess() invoque implicitement le fichier exécutable cmd.exe, même si l'application ne le spécifie pas lors de l'appel. Le programme cmd.exe contient sa propre logique complexe de séparation des arguments pour dissocier ses propres arguments de ceux du script lancé. Pour protéger contre la substitution d'arguments sur la plateforme Windows, les bibliothèques standard des langages de programmation utilisent des gestionnaires d'échappement distincts, que l'on peut contourner par des manipulations de guillemets doubles.

Par exemple, dans un programme appelant le script ‘./test.bat’ avec un argument basé sur des données fournies par l'utilisateur, un attaquant peut transmettre la valeur ‘»&calc.exe’, qui, lors de l'exécution du script, sera développée en la chaîne ‘C:\Windows\System32\cmd.exe /c .\test.bat «»&calc.exe’ et entraînera le lancement du processus calc.exe. Cette méthode fonctionne également lors du lancement implicite de scripts, où le fichier exécutable nommé «test» est lancé sans spécification d'extension, et où un fichier «test.bat» se trouve dans l'un des répertoires mentionnés dans la variable d'environnement PATH.

Une correction a déjà été publiée (CVE-2024-24576) pour la bibliothèque standard du langage Rust et a été intégrée dans la mise à jour Rust 1.77.2. Des mises à jour pour Node.js et PHP sont en préparation pour corriger la vulnérabilité (les tags 8.2.18 et 8.3.5 ont déjà été créés, mais les versions n'ont pas encore été annoncées). Les projets Python, Ruby, Go, Erlang et Haskell se sont pour l’instant contentés d’ajouter un avertissement dans leur documentation concernant l'existence de la vulnérabilité en cas de non-appropriation correcte des caractères spéciaux.

Dans Rust 1.77.2, une vérification supplémentaire a été ajoutée à la bibliothèque standard, renvoyant une erreur en cas de présence de caractères spéciaux dans les arguments d'un script exécuté, qui ne peuvent pas être garantis d'être échappés de manière sûre. Pour les développeurs qui mettent en œuvre leur propre logique d'échappement, un nouveau méthode CommandExt::raw_arg est proposée, désactivant complètement l'échappement au niveau des appels de bibliothèque.

L'ajout de protections est compliqué par le fait qu'un simple échappement des guillemets doubles n'est pas suffisant, car l'interpréteur de commande traite et développe des variables telles que «%PATH%». Par exemple, un guillemet peut être inséré par manipulation de la variable d'environnement «%CMDCMDLINE%», en indiquant à la place de ‘"&calc.exe’ — ‘%CMDCMDLINE:~-1%&calc.exe’.

Source : opennet.ru