{"id":114973,"date":"2024-04-10T14:30:01","date_gmt":"2024-04-10T12:30:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-batbadbut-zatragivayushhaya-standartnye-biblioteki-razlichnyh-yazykov-programmirovaniya"},"modified":"2024-04-10T14:30:01","modified_gmt":"2024-04-10T12:30:01","slug":"uyazvimost-batbadbut-zatragivayushhaya-standartnye-biblioteki-razlichnyh-yazykov-programmirovaniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/uyazvimost-batbadbut-zatragivayushhaya-standartnye-biblioteki-razlichnyh-yazykov-programmirovaniya","title":{"rendered":"S\u00e5rbarheten BatBadBut, som p\u00e5verkar standardbibliotek i olika programmeringsspr\u00e5k","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Applikationer som k\u00f6r skript i bat- och cmd-format p\u00e5 Windows plattformen genom standardprocessstartfunktioner \u00e4r s\u00e5rbara f\u00f6r attacker som till\u00e5ter exekvering av egen kod om specialtecken i k\u00f6rningsargumenten skickas utan separat escapning. S\u00e5rbarheten har kodnamnet BatBadBut och upptr\u00e4der i applikationer som anv\u00e4nder standardbibliotek f\u00f6r programmeringsspr\u00e5k s\u00e5som Rust, PHP, Node.js, Python, Ruby, Go, Erlang och Haskell. <\/p>\n
Problemet har identifierats som en s\u00e5rbarhet eftersom det r\u00f6r funktioner i biblioteket, som Command::arg och Command::args i Rust, som \u00e4r avsedda f\u00f6r direkt \u00f6verf\u00f6ring av argument till processen, utan att behandlas av kommandotolken. Det antas att applikationsutvecklaren inte kontrollerar argumenten eftersom de \u00f6verf\u00f6rs direkt till den k\u00f6rande processen. Medan argumenten i Unix-system \u00f6verf\u00f6rs till processen individuellt i en array, s\u00e5 formateras argumenten i Windows med API:n CreateProcess som en enda str\u00e4ng, och tolkningen av denna str\u00e4ng ligger p\u00e5 den k\u00f6rande processen. <\/p>\n
N\u00e4r bat- och cmd-skript k\u00f6rs p\u00e5 Windows plattformen, kallar funktionen CreateProcess() implicit den k\u00f6rbara filen cmd.exe, \u00e4ven om applikationen inte specificerar detta vid anropet. Programmet cmd.exe inneh\u00e5ller en egen komplex logik f\u00f6r att separera argument, f\u00f6r att s\u00e4rskilja sina egna argument, de som tillh\u00f6r skriptet som k\u00f6rs, och argumenten f\u00f6r detta skript. F\u00f6r att skydda mot \u00f6verf\u00f6ring av argument p\u00e5 Windows anv\u00e4nds separata escapningshanterare i standardbiblioteken f\u00f6r programmeringsspr\u00e5k, vilket visat sig kunna omg\u00e5s genom manipulering av dubbelcitat. <\/p>\n
Till exempel, i ett program som k\u00f6r skriptet '.\/test.bat' med ett argument baserat p\u00e5 data som h\u00e4mtas fr\u00e5n anv\u00e4ndaren, kan en angripare skicka v\u00e4rdet '\u00bb&calc.exe', vilket vid k\u00f6rning av skriptet kommer att expandera till str\u00e4ngen 'C:\\ <\/p>\n
F\u00f6r n\u00e4rvarande har en \u00e5tg\u00e4rd sl\u00e4ppts (CVE-2024-24576) f\u00f6r standardbiblioteket i programspr\u00e5ket Rust och ing\u00e5r i uppdateringen Rust 1.77.2. Det p\u00e5g\u00e5r f\u00f6rberedelser f\u00f6r uppdateringar som tar bort s\u00e5rbarheten f\u00f6r Node.js och PHP (taggarna 8.2.18 och 8.3.5 har redan skapats, men versionerna har \u00e4nnu inte meddelats). Projekten Python, Ruby, Go, Erlang och Haskell har hittills begr\u00e4nsat sig till att l\u00e4gga till en varning i dokumentationen om s\u00e5rbarhetens f\u00f6rekomst vid bristande korrekt undanr\u00f6jande av specialtecken. <\/p>\n
I Rust 1.77.2 har en extra kontroll lagts till i standardbiblioteket som returnerar ett fel om argumentet f\u00f6r det k\u00f6rbara skriptet inneh\u00e5ller specialtecken som inte kan garanteras att s\u00e4kert undanr\u00f6jas. F\u00f6r utvecklare som sj\u00e4lva implementerar undanr\u00f6jningslogik har metoden CommandExt::raw_arg tillhandah\u00e5llits, vilket helt inaktiverar undanr\u00f6jning p\u00e5 bibliotekets funktionssida. <\/p>\n
Det som hindrar till\u00e4gg av skydd \u00e4r att enkel undvikning av dubbla citat inte \u00e4r tillr\u00e4ckligt, eftersom kommandotolken bearbetar och avsl\u00f6jar variabler, s\u00e5som '\"%PATH%\"'. Till exempel kan man injicera citatet genom hantering av milj\u00f6variabeln '\"%CMDCMDLINE%\"', genom att ange ist\u00e4llet f\u00f6r '\u00bb&calc.exe' - '\"%CMDCMDLINE:~-1%&calc.exe\"'. \n K\u00e4lla: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"