{"id":114973,"date":"2024-04-10T14:30:01","date_gmt":"2024-04-10T12:30:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-batbadbut-zatragivayushhaya-standartnye-biblioteki-razlichnyh-yazykov-programmirovaniya"},"modified":"2024-04-10T14:30:01","modified_gmt":"2024-04-10T12:30:01","slug":"uyazvimost-batbadbut-zatragivayushhaya-standartnye-biblioteki-razlichnyh-yazykov-programmirovaniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/uyazvimost-batbadbut-zatragivayushhaya-standartnye-biblioteki-razlichnyh-yazykov-programmirovaniya","title":{"rendered":"A BatBadBut s\u00e9r\u00fcl\u00e9kenys\u00e9g, amely k\u00fcl\u00f6nb\u00f6z\u0151 programoz\u00e1si nyelvek standard k\u00f6nyvt\u00e1rait \u00e9rinti.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A Windows platformon bat \u00e9s cmd form\u00e1tum\u00fa szkriptek futtat\u00e1s\u00e1hoz haszn\u00e1lt alkalmaz\u00e1sok, amelyek a processzusok ind\u00edt\u00e1si funkci\u00f3it haszn\u00e1lj\u00e1k, sebezhet\u0151s\u00e9ggel rendelkeznek, amely lehet\u0151v\u00e9 teszi, hogy a t\u00e1mad\u00f3 saj\u00e1t k\u00f3dj\u00e1t futtassa, ha ind\u00edt\u00e1skor az \u00e9rvek \u00e1tad\u00e1sa n\u00e9lk\u00fcl k\u00fcl\u00f6n kitakar\u00e1s nem t\u00f6rt\u00e9nik. A sebezhet\u0151s\u00e9get BatBadBut n\u00e9ven emlegetik, \u00e9s olyan alkalmaz\u00e1sokban fordul el\u0151, amelyek a Rust, PHP, Node.js, Python, Ruby, Go, Erlang \u00e9s Haskell standard k\u00f6nyvt\u00e1rait haszn\u00e1lj\u00e1k. <\/p>\n
A probl\u00e9m\u00e1t sebezhet\u0151s\u00e9gk\u00e9nt eml\u00edtik, mivel \u00e9rinti a k\u00f6nyvt\u00e1r funkci\u00f3it, mint p\u00e9ld\u00e1ul a Command::arg \u00e9s a Command::args Rustban, amelyek k\u00f6zvetlen\u00fcl adj\u00e1k \u00e1t az \u00e9rveket a folyamatnak a parancs\u00e9rtelmez\u0151 feldolgoz\u00e1sa n\u00e9lk\u00fcl. Felt\u00e9telezik, hogy az alkalmaz\u00e1s fejleszt\u0151je nem ellen\u0151rzi az \u00e9rveket, mivel azok k\u00f6zvetlen\u00fcl a futtatott folyamathoz ker\u00fclnek \u00e1tad\u00e1sra. M\u00edg Unix rendszerekben az \u00e9rveket k\u00fcl\u00f6n t\u00f6mbk\u00e9nt adj\u00e1k \u00e1t a folyamatnak, Windows alatt a CreateProcess API haszn\u00e1lata sor\u00e1n az \u00e9rvek egyetlen sorba ker\u00fclnek, amelynek elemz\u00e9se a futtatott folyamatra h\u00e1rul. <\/p>\n
Windows platformon a bat \u00e9s cmd szkriptek futtat\u00e1sakor a CreateProcess() funkci\u00f3 implicit m\u00f3don bevonja a cmd.exe futtathat\u00f3 f\u00e1jlt, m\u00e9g akkor is, ha az alkalmaz\u00e1s nem jelzi azt a h\u00edv\u00e1skor. A cmd.exe program saj\u00e1t \u00f6sszetett logik\u00e1t tartalmaz az \u00e9rvek elv\u00e1laszt\u00e1s\u00e1ra, hogy megk\u00fcl\u00f6nb\u00f6ztesse a saj\u00e1t param\u00e9tereit, a futtatott szkriptet \u00e9s annak \u00e9rveit. A Windows platformon a programoz\u00e1si nyelvek standard k\u00f6nyvt\u00e1raiban haszn\u00e1lt k\u00fcl\u00f6n \u00e9rvel\u00e9si v\u00e9delmek, amelyek az \u00e9rvek behelyettes\u00edt\u00e9se ellen v\u00e9delmet ny\u00fajtanak, \u00fagy t\u0171nik, megker\u00fclhet\u0151k a dupla id\u00e9z\u0151jelek manipul\u00e1l\u00e1s\u00e1val. <\/p>\n
P\u00e9ld\u00e1ul, egy program eset\u00e9ben, amely a felhaszn\u00e1l\u00f3t\u00f3l kapott adatok alapj\u00e1n egy ‘.\\\/test.bat’ szkriptet h\u00edv meg, a t\u00e1mad\u00f3 megadhatja a ‘»&calc.exe’ \u00e9rt\u00e9ket, amely a szkript futtat\u00e1sakor ‘C:\\Windows\\System32\\cmd.exe \\\/c .\\test.bat «»&calc.exe»‘ karakterl\u00e1ncra b\u0151v\u00fcl, \u00e9s elind\u00edtja a calc.exe folyamatot. A m\u00f3dszer m\u0171k\u00f6dik implicit szkriptek futtat\u00e1s\u00e1n\u00e1l is, amikor egy «test» nev\u0171 v\u00e9grehajthat\u00f3 f\u00e1jl fut, kiterjeszt\u00e9s megad\u00e1sa n\u00e9lk\u00fcl, \u00e9s a PATH k\u00f6rnyezeti v\u00e1ltoz\u00f3ban eml\u00edtett k\u00f6nyvt\u00e1rak egyik\u00e9ben megtal\u00e1lhat\u00f3 a «test.bat» f\u00e1jl. <\/p>\n
Jelenleg m\u00e1r kiadt\u00e1k a Rust nyelv standard k\u00f6nyvt\u00e1r\u00e1hoz k\u00e9sz\u00fclt jav\u00edt\u00e1st (CVE-2024-24576), amely a Rust 1.77.2 friss\u00edt\u00e9sbe ker\u00fclt. Az Node.js \u00e9s PHP sebezhet\u0151s\u00e9g\u00e9nek jav\u00edt\u00e1s\u00e1ra k\u00e9sz\u00fcl\u0151 friss\u00edt\u00e9sek folyamatban vannak (a 8.2.18 \u00e9s 8.3.5 jel\u00f6l\u00e9sek m\u00e1r ki lettek \u00e1ll\u00edtva, de a kiad\u00e1sok m\u00e9g nem lettek bejelentve). A Python, Ruby, Go, Erlang \u00e9s Haskell projektek egyel\u0151re csak a dokument\u00e1ci\u00f3ban figyelmeztetnek a sebezhet\u0151s\u00e9g megjelen\u00e9s\u00e9re a speci\u00e1lis karakterek megfelel\u0151 elrejt\u00e9s\u00e9nek hi\u00e1ny\u00e1ban. <\/p>\n
A Rust 1.77.2-ben a standard k\u00f6nyvt\u00e1rhoz egy \u00faj ellen\u0151rz\u00e9s ker\u00fclt hozz\u00e1ad\u00e1sra, amely hiba\u00fczenetet ad vissza, ha a futtatni k\u00edv\u00e1nt szkript argumentum\u00e1ban olyan speci\u00e1lis karakterek tal\u00e1lhat\u00f3k, amelyeket nem lehet garant\u00e1ltan biztons\u00e1gosan elrejteni. A saj\u00e1t elrejt\u00e9si logik\u00e1t megval\u00f3s\u00edt\u00f3 fejleszt\u0151k sz\u00e1m\u00e1ra el\u00e9rhet\u0151 a CommandExt::raw_arg met\u00f3dus, amely teljesen letiltja az elrejt\u00e9st a k\u00f6nyvt\u00e1ri h\u00edv\u00e1sok oldal\u00e1n. <\/p>\n
A v\u00e9delem hozz\u00e1ad\u00e1s\u00e1t g\u00e1tolja, hogy a dupla id\u00e9z\u0151jelek egyszer\u0171 kiemel\u00e9se nem elegend\u0151, mivel a parancs\u00e9rtelmez\u0151 feldolgozza \u00e9s kiterjeszti az olyan v\u00e1ltoz\u00f3kat, mint a «%PATH%». P\u00e9ld\u00e1ul az id\u00e9z\u0151jelet be lehet \u00e1gyazni a «%CMDCMDLINE%» k\u00f6rnyezeti v\u00e1ltoz\u00f3 manipul\u00e1l\u00e1s\u00e1val, \u00fagy, hogy a ‘»&calc.exe’ helyett — ‘%CMDCMDLINE:~-1%&calc.exe’ szerepel. \n Forr\u00e1s: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"