Aplikacje uruchamiaj\u0105ce skrypty w formacie bat i cmd na platformie Windows korzystaj\u0105ce z wbudowanych funkcji uruchamiania proces\u00f3w, s\u0105 podatne na luk\u0119, kt\u00f3ra pozwala na wykonanie w\u0142asnego kodu w przypadku przekazywania argument\u00f3w bez osobnego zabezpieczenia znak\u00f3w specjalnych. Luka ta zosta\u0142a oznaczona nazw\u0105 kodow\u0105 BatBadBut i wyst\u0119puje w aplikacjach wykorzystuj\u0105cych standardowe biblioteki j\u0119zyk\u00f3w takich jak Rust, PHP, Node.js, Python, Ruby, Go, Erlang i Haskell. <\/p>\n
Problem zosta\u0142 oznaczony jako luka, poniewa\u017c dotyczy funkcji biblioteki, takich jak Command::arg i Command::args w Rust, kt\u00f3re s\u0105 przeznaczone do bezpo\u015bredniego przekazywania argument\u00f3w do procesu, bez ich przetwarzania przez interpreter polece\u0144. Zak\u0142ada si\u0119, \u017ce programista aplikacji mo\u017ce nie sprawdza\u0107 argument\u00f3w, poniewa\u017c s\u0105 one bezpo\u015brednio przekazywane do uruchamianego procesu. W systemach Unix argumenty s\u0105 przekazywane do procesu osobno w tablicy, podczas gdy w Windows przy u\u017cyciu interfejsu API CreateProcess argumenty s\u0105 przekazywane jako jeden ci\u0105g, kt\u00f3rego analiza spoczywa na uruchamianym procesie. <\/p>\n
Podczas uruchamiania skrypt\u00f3w bat i cmd na platformie Windows funkcja CreateProcess() automatycznie uruchamia plik wykonywalny cmd.exe, nawet je\u015bli aplikacja go nie wskazuje przy wywo\u0142aniu. Program cmd.exe zawiera swoj\u0105 w\u0142asn\u0105 skomplikowan\u0105 logik\u0119 rozdzielania argument\u00f3w, aby oddzieli\u0107 argumenty w\u0142asne, uruchamianego skryptu i argumenty tego skryptu. Aby zabezpieczy\u0107 platform\u0119 Windows przed podstawianiem argument\u00f3w, standardowe biblioteki j\u0119zyk\u00f3w programowania stosuj\u0105 oddzielne mechanizmy zabezpieczaj\u0105ce, kt\u00f3re, jak si\u0119 okaza\u0142o, mo\u017cna obej\u015b\u0107, manipuluj\u0105c podw\u00f3jnymi cudzys\u0142owami. <\/p>\n
Na przyk\u0142ad, w programie wywo\u0142uj\u0105cym skrypt '.\/test.bat' z argumentem opartym na danych wprowadzonych przez u\u017cytkownika, atakuj\u0105cy mo\u017ce przekaza\u0107 warto\u015b\u0107 '\u00bb&calc.exe', kt\u00f3ra podczas uruchamiania skryptu zostanie rozszerzona do \u0142a\u0144cucha 'C:\\ <\/p>\n
Obecnie wydano poprawk\u0119 (CVE-2024-24576) dla standardowej biblioteki j\u0119zyka Rust, kt\u00f3ra znalaz\u0142a si\u0119 w aktualizacji Rust 1.77.2. W przygotowaniu s\u0105 aktualizacje eliminuj\u0105ce luk\u0119 dla Node.js i PHP (tagi 8.2.18 i 8.3.5 ju\u017c zosta\u0142y wystawione, ale wydania nie zosta\u0142y jeszcze og\u0142oszone). Projekty Python, Ruby, Go, Erlang i Haskell na razie ograniczy\u0142y si\u0119 do dodania ostrze\u017cenia o istnieniu luki w dokumentacji, w przypadku braku odpowiedniego ekranowania znak\u00f3w specjalnych. <\/p>\n
W Rust 1.77.2 do standardowej biblioteki dodano dodatkowe sprawdzenie, kt\u00f3re zwraca b\u0142\u0105d w przypadku obecno\u015bci znak\u00f3w specjalnych w argumencie uruchamianego skryptu, kt\u00f3rych nie mo\u017cna gwarantowa\u0107, \u017ce b\u0119d\u0105 bezpiecznie ekranowane. Dla programist\u00f3w, kt\u00f3rzy samodzielnie implementuj\u0105 logik\u0119 ekranowania, udost\u0119pniono metod\u0119 CommandExt::raw_arg, kt\u00f3ra ca\u0142kowicie wy\u0142\u0105cza ekranowanie po stronie wywo\u0142a\u0144 bibliotecznych. <\/p>\n
Dodaniu ochrony przeszkadza to, \u017ce proste eskalowanie podw\u00f3jnych cudzys\u0142ow\u00f3w nie wystarcza, poniewa\u017c interpreter polece\u0144 przetwarza i ujawnia zmienne, takie jak '%PATH%'. Na przyk\u0142ad, cudzys\u0142\u00f3w mo\u017cna wprowadzi\u0107 poprzez manipulacj\u0119 zmienn\u0105 \u015brodowiskow\u0105 '%CMDCMDLINE%', podaj\u0105c zamiast '\u00bb&calc.exe' \u2014 '%CMDCMDLINE:~-1%&calc.exe'. \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"