BatBadBut

📌Идентификация уязвимости: Критическая уязвимость идентифицируется как “BatBadBut” CVE-2024–24576

📌Уязвимое ПО: Уязвимость существует в стандартной библиотеке Rust и, в частности, затрагивает системы Windows

📌Степень критичности: присвоена наивысшая оценка по шкале CVSS, равная 10,0, что указывает на максимальную степень тяжести

📌 Подробная информация: Уязвимость возникает из-за того, что стандартная библиотека Rust неправильно экранирует аргументы при вызове пакетных файлов в Windows с использованием командного API. Это может позволить злоумышленнику выполнять произвольные команды оболочки, обходя экранирующий интерфейс.

📌Условия: выполнение команды в Windows, команда не указывает расширение файла или использует .bat или .cmd, команда содержит управляемый пользователем ввод в качестве части аргументов команды, а среда выполнения не может должным образом обработать аргументы команды для cmd.exe

📌Уязвимые версии: Все версии Rust для Windows до версии 1.77.2 подвержены этой уязвимости

📌Воздействие: Уязвимость также затрагивает другие языки программирования, включая Erlang, Go, Haskell, Java, Node.js, PHP, Python и Ruby, хотя исправления выпущены не для всех из них

📌Рекомендации по устранению: Пользователям рекомендуется перемещать пакетные файлы в каталог, не указанный в переменной среды PATH, чтобы предотвратить непредвиденное выполнение. Разработчикам следует перейти на версию Rust 1.77.2, чтобы устранить уязвимость

📌Обнаружение и отчетность: Уязвимость была обнаружена инженером по безопасности из Flatt Security, известным как RyotaK, и передана в Координационный центр сертификации (CERT/CC).

📌Ответ от Rust: Rust признала проблему и с тех пор улучшила надежность экранирующего кода и модифицировала командный API, чтобы возвращать ошибку InvalidInput, если аргумент не может быть безопасно экранирован

📌Реакция разработчиков других языков: Разработчики Haskell, Node.js, PHP и yt-dlp выпустили исправления для устранения ошибки, связанной с внедрением команд