【漏洞复现】Rust命令注入漏洞（CVE-2024-24576）

Rust是一种通用、编译型编程语言，强调性能、类型安全和并发性，支持函数式、并发式、过程式以及面向对象的编程风格。

2024年4月10日，启明星辰VSRC监测到Rust 标准库中存在命令注入漏洞（CVE-2024-24576，被称为BatBadBut），该漏洞的CVSS评分为10.0，可能在Windows系统上导致命令注入攻击，目前该漏洞的细节已公开。

Rust标准库1.77.2 版本之前，在 Windows 上使用Command API 调用批处理文件（带有bat和cmd扩展名）时，Rust 标准库没有正确转义批处理文件的参数，能够控制传递给生成进程的参数的攻击者可绕过转义执行任意shell 命令。

二、漏洞复现

三、影响范围

Rust < 1.77.2（Windows平台）

注：如果代码或依赖项之一使用不受信任的参数执行批处理文件，则 Windows 上 1.77.2 之前的所有 Rust 版本都会受到影响，其他平台或使用不易受到影响。

BatBadBut漏洞允许攻击者在满足特定条件时对间接依赖CreateProcess函数的Windows应用程序执行命令注入。CreateProcess函数在执行批处理文件时会隐式生成cmd.exe。

BatBadBut漏洞可能影响Erlang、Go、Haskell、Java、Node.js、PHP、Python、Ruby、Rust等多种编程语言，当编程语言封装 CreateProcess 函数并为命令参数添加转义机制时存在安全问题，导致恶意命令行参数可能能够执行命令注入。

相关CVE包括CVE-2024-1874、CVE-2024-22423、CVE-2024-24576（Rust）、CVE-2024-3566 、CVE-2024-27980（Node.js）等，目前PHP、Rust、Node.js等编程语言已发布了修复版本，详情可参考：https://kb.cert.org/vuls/id/123335

四、安全措施

4.1升级版本

目前官方已在Rust 版本1.77.2中缓解修复了该漏洞，改进了转义代码的稳健性，并更改了Command API，使其在无法安全地转义参数时返回InvalidInput错误。受影响用户可更新到Rust 1.77.2或更高版本。

下载链接：

https://blog.rust-lang.org/2024/04/09/Rust-1.77.2.html

版本检测：

在Windows cmd 或 Powershell中执行命令：rustc --version或者 rustc -V

4.2临时措施

避免在Windows上使用不受信任的参数调用批处理文件。

4.3 通用建议

• 4.4参考链接

https://blog.rust-lang.org/2024/04/09/cve-2024-24576.html

https://github.com/rust-lang/rust/security/advisories/GHSA-q455-m56c-85mh

https://flatt.tech/research/posts/batbadbut-you-cant-securely-execute-commands-on-windows/

https://kb.cert.org/vuls/id/123335

原文始发于微信公众号（启明星辰安全简讯）：【漏洞复现】Rust命令注入漏洞（CVE-2024-24576）