|
|
||
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Rust是一种通用、编译型编程语言,强调性能、类型安全和并发性,支持函数式、并发式、过程式以及面向对象的编程风格。
2024年4月10日,启明星辰VSRC监测到Rust 标准库中存在命令注入漏洞(CVE-2024-24576,被称为BatBadBut),该漏洞的CVSS评分为10.0,可能在Windows系统上导致命令注入攻击,目前该漏洞的细节已公开。
Rust标准库1.77.2 版本之前,在 Windows 上使用Command API 调用批处理文件(带有bat和cmd扩展名)时,Rust 标准库没有正确转义批处理文件的参数,能够控制传递给生成进程的参数的攻击者可绕过转义执行任意shell 命令。
二、影响范围
Rust < 1.77.2(Windows平台)
注:如果代码或依赖项之一使用不受信任的参数执行批处理文件,则Windows 上 1.77.2 之前的所有 Rust 版本都会受到影响,其他平台或使用不易受到影响。
BatBadBut漏洞允许攻击者在满足特定条件时对间接依赖CreateProcess函数的Windows应用程序执行命令注入。CreateProcess函数在执行批处理文件时会隐式生成cmd.exe。
BatBadBut漏洞可能影响Erlang、Go、Haskell、Java、Node.js、PHP、Python、Ruby、Rust等多种编程语言,当编程语言封装 CreateProcess 函数并为命令参数添加转义机制时存在安全问题,导致恶意命令行参数可能能够执行命令注入。
三、安全措施
3.1 升级版本
目前官方已在Rust 版本1.77.2中缓解修复了该漏洞,改进了转义代码的稳健性,并更改了Command API,使其在无法安全地转义参数时返回InvalidInput错误。受影响用户可更新到Rust 1.77.2或更高版本。
下载链接:
https://blog.rust-lang.org/2024/04/09/Rust-1.77.2.html
3.2 临时措施
避免在Windows上使用不受信任的参数调用批处理文件。
3.3 通用建议
定期更新系统补丁,减少系统漏洞,提升服务器的安全性。
加强系统和网络的访问控制,修改防火墙策略,关闭非必要的应用端口或服务,减少将危险服务(如SSH、RDP等)暴露到公网,减少攻击面。
使用企业级安全产品,提升企业的网络安全性能。
加强系统用户和权限管理,启用多因素认证机制和最小权限原则,用户和软件权限应保持在最低限度。
启用强密码策略并设置为定期修改。
3.4 参考链接
https://blog.rust-lang.org/2024/04/09/cve-2024-24576.html
https://github.com/rust-lang/rust/security/advisories/GHSA-q455-m56c-85mh
https://flatt.tech/research/posts/batbadbut-you-cant-securely-execute-commands-on-windows/
https://www.rust-lang.org/
原文始发于微信公众号(启明星辰安全简讯):【漏洞通告】Rust命令注入漏洞(CVE-2024-24576)
- 左青龙
- 微信扫一扫
- 右白虎
- 微信扫一扫
评论