Sårbarheten BatBadBut, som påverkar standardbibliotek i olika programmeringsspråk

Applikationer som kör skript i bat- och cmd-format på Windows plattformen genom standardprocessstartfunktioner är sårbara för attacker som tillåter exekvering av egen kod om specialtecken i körningsargumenten skickas utan separat escapning. Sårbarheten har kodnamnet BatBadBut och uppträder i applikationer som använder standardbibliotek för programmeringsspråk såsom Rust, PHP, Node.js, Python, Ruby, Go, Erlang och Haskell.

Problemet har identifierats som en sårbarhet eftersom det rör funktioner i biblioteket, som Command::arg och Command::args i Rust, som är avsedda för direkt överföring av argument till processen, utan att behandlas av kommandotolken. Det antas att applikationsutvecklaren inte kontrollerar argumenten eftersom de överförs direkt till den körande processen. Medan argumenten i Unix-system överförs till processen individuellt i en array, så formateras argumenten i Windows med API:n CreateProcess som en enda sträng, och tolkningen av denna sträng ligger på den körande processen.

När bat- och cmd-skript körs på Windows plattformen, kallar funktionen CreateProcess() implicit den körbara filen cmd.exe, även om applikationen inte specificerar detta vid anropet. Programmet cmd.exe innehåller en egen komplex logik för att separera argument, för att särskilja sina egna argument, de som tillhör skriptet som körs, och argumenten för detta skript. För att skydda mot överföring av argument på Windows används separata escapningshanterare i standardbiblioteken för programmeringsspråk, vilket visat sig kunna omgås genom manipulering av dubbelcitat.

Till exempel, i ett program som anropar skriptet ‘.\/test.bat’ med ett argument baserat på data hämtade från användaren, kan en angripare skicka värdet ‘»&calc.exe’, vilket vid körning av skriptet kommer att utvecklas till strängen ‘C:\Windows\System32\cmd.exe \/c .\test.bat «»&calc.exe»‘ och leda till att processen calc.exe startas. Metoden fungerar också vid implicit körning av skript, när en körbar fil med namnet «test» startas utan att ange filtypen, och en fil som heter «test.bat» finns i en av katalogerna som nämns i miljövariabeln PATH.

För närvarande har en åtgärd släppts (CVE-2024-24576) för standardbiblioteket i programspråket Rust och ingår i uppdateringen Rust 1.77.2. Det pågår förberedelser för uppdateringar som tar bort sårbarheten för Node.js och PHP (taggarna 8.2.18 och 8.3.5 har redan skapats, men versionerna har ännu inte meddelats). Projekten Python, Ruby, Go, Erlang och Haskell har hittills begränsat sig till att lägga till en varning i dokumentationen om sårbarhetens förekomst vid bristande korrekt undanröjande av specialtecken.

I Rust 1.77.2 har en extra kontroll lagts till i standardbiblioteket som returnerar ett fel om argumentet för det körbara skriptet innehåller specialtecken som inte kan garanteras att säkert undanröjas. För utvecklare som själva implementerar undanröjningslogik har metoden CommandExt::raw_arg tillhandahållits, vilket helt inaktiverar undanröjning på bibliotekets funktionssida.

Tillägget av skydd hindras av att enkel undanröjning av dubbla citattecken inte är tillräckligt, eftersom kommandotolkaren behandlar och avslöjar variabler som «%PATH%». Till exempel kan ett citattecken injiceras genom manipulation av miljövariabeln «%CMDCMDLINE%», genom att ange istället för ‘»&calc.exe’ — ‘%CMDCMDLINE:~-1%&calc.exe’.

Källa: opennet.ru