{"id":114973,"date":"2024-04-10T14:30:01","date_gmt":"2024-04-10T12:30:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-batbadbut-zatragivayushhaya-standartnye-biblioteki-razlichnyh-yazykov-programmirovaniya"},"modified":"2024-04-10T14:30:01","modified_gmt":"2024-04-10T12:30:01","slug":"uyazvimost-batbadbut-zatragivayushhaya-standartnye-biblioteki-razlichnyh-yazykov-programmirovaniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-batbadbut-zatragivayushhaya-standartnye-biblioteki-razlichnyh-yazykov-programmirovaniya","title":{"rendered":"La vuln\u00e9rabilit\u00e9 BatBadBut, affectant les biblioth\u00e8ques standard de divers langages de programmation","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Les applications ex\u00e9cutant des scripts au format bat et cmd sur la plateforme Windows \u00e0 l'aide des fonctions standard de lancement de processus sont vuln\u00e9rables \u00e0 une faille qui permet l'ex\u00e9cution de code malveillant en cas de passage d'arguments non \u00e9chapp\u00e9s lors du lancement. Cette vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 nomm\u00e9e BatBadBut et se manifeste dans les applications utilisant les biblioth\u00e8ques standard de langages tels que Rust, PHP, Node.js, Python, Ruby, Go, Erlang et Haskell. <\/p>\n
Le probl\u00e8me est qualifi\u00e9 de vuln\u00e9rabilit\u00e9 car il concerne des fonctions de biblioth\u00e8que, comme Command::arg et Command::args en Rust, qui sont con\u00e7ues pour transmettre directement des arguments au processus, sans traitement par l'interpr\u00e9teur de commandes. Il est sous-entendu que le d\u00e9veloppeur de l'application pourrait ne pas v\u00e9rifier les arguments, car ils sont directement transmis au processus lanc\u00e9. Alors que sous les syst\u00e8mes Unix les arguments sont pass\u00e9s s\u00e9par\u00e9ment au processus dans un tableau, sous Windows, lors de l'utilisation de l'API CreateProcess, les arguments sont fournis sous forme d'une seule cha\u00eene, dont l'analyse incombe au processus lanc\u00e9. <\/p>\n
Lors du lancement de scripts bat et cmd sur la plateforme Windows, la fonction CreateProcess() invoque implicitement le fichier ex\u00e9cutable cmd.exe, m\u00eame si l'application ne le sp\u00e9cifie pas lors de l'appel. Le programme cmd.exe contient sa propre logique complexe de s\u00e9paration des arguments pour dissocier ses propres arguments de ceux du script lanc\u00e9. Pour prot\u00e9ger contre la substitution d'arguments sur la plateforme Windows, les biblioth\u00e8ques standard des langages de programmation utilisent des gestionnaires d'\u00e9chappement distincts, que l'on peut contourner par des manipulations de guillemets doubles. <\/p>\n
Par exemple, dans un programme qui appelle le script '.\/test.bat' avec un argument bas\u00e9 sur des donn\u00e9es fournies par l'utilisateur, un attaquant peut transmettre la valeur '\u00bb&calc.exe', qui, lorsqu'elle est ex\u00e9cut\u00e9e, sera d\u00e9velopp\u00e9e en 'C:\\\\Windows\\\\System32\\\\cmd.exe \/c .\\\\test.bat \u00ab\u00bb&calc.exe' et entra\u00eenera le lancement du processus calc.exe. Cette m\u00e9thode fonctionne \u00e9galement lors du lancement implicite de scripts, lorsque l'ex\u00e9cutable appel\u00e9 s'appelle 'test' sans extension, et qu'un fichier 'test.bat' se trouve dans l'un des r\u00e9pertoires mentionn\u00e9s dans la variable d'environnement PATH. <\/p>\n
Une correction a d\u00e9j\u00e0 \u00e9t\u00e9 publi\u00e9e (CVE-2024-24576) pour la biblioth\u00e8que standard du langage Rust et a \u00e9t\u00e9 int\u00e9gr\u00e9e dans la mise \u00e0 jour Rust 1.77.2. Des mises \u00e0 jour pour Node.js et PHP sont en pr\u00e9paration pour corriger la vuln\u00e9rabilit\u00e9 (les tags 8.2.18 et 8.3.5 ont d\u00e9j\u00e0 \u00e9t\u00e9 cr\u00e9\u00e9s, mais les versions n'ont pas encore \u00e9t\u00e9 annonc\u00e9es). Les projets Python, Ruby, Go, Erlang et Haskell se sont pour l\u2019instant content\u00e9s d\u2019ajouter un avertissement dans leur documentation concernant l'existence de la vuln\u00e9rabilit\u00e9 en cas de non-appropriation correcte des caract\u00e8res sp\u00e9ciaux. <\/p>\n
Dans Rust 1.77.2, une v\u00e9rification suppl\u00e9mentaire a \u00e9t\u00e9 ajout\u00e9e \u00e0 la biblioth\u00e8que standard, renvoyant une erreur en cas de pr\u00e9sence de caract\u00e8res sp\u00e9ciaux dans les arguments d'un script ex\u00e9cut\u00e9, qui ne peuvent pas \u00eatre garantis d'\u00eatre \u00e9chapp\u00e9s de mani\u00e8re s\u00fbre. Pour les d\u00e9veloppeurs qui mettent en \u0153uvre leur propre logique d'\u00e9chappement, un nouveau m\u00e9thode CommandExt::raw_arg est propos\u00e9e, d\u00e9sactivant compl\u00e8tement l'\u00e9chappement au niveau des appels de biblioth\u00e8que. <\/p>\n
L'ajout de protections est compliqu\u00e9 par le fait que le simple \u00e9chappement des guillemets doubles n'est pas suffisant, car l'interpr\u00e9teur de commandes traite et d\u00e9veloppe des variables telles que '\"%PATH%\"'. Par exemple, il est possible d'ins\u00e9rer un guillemet \u00e0 l'aide de la variable d'environnement '\"%CMDCMDLINE%\"' en indiquant \u00e0 la place '>'&calc.exe' \u2014 '\"%CMDCMDLINE:~-1%\"&calc.exe'. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"