Rust standart kütüphanesindeki kritik bir güvenlik açığı, Windows kullanıcılarını hedef almak ve komut yerleştirme saldırıları düzenlemek için kullanılabilir.
Şu şekilde izlenen güvenlik açığı: CVE-2024-24576, maksimum ciddiyeti gösteren 10.0 CVSS puanına sahiptir. Bununla birlikte, yalnızca toplu iş dosyalarının Windows’ta güvenilmeyen argümanlarla çağrıldığı senaryoları etkiler.
Rust Güvenlik Yanıtı çalışma grubu, “Rust standart kitaplığı, Windows’ta toplu dosyaları (bat ve cmd uzantılı) Komut API’sini kullanarak çağırırken bağımsız değişkenlerden düzgün bir şekilde kaçamadı” söz konusu 9 Nisan 2024’te yayınlanan bir danışma belgesinde.
“Oluşturulan sürece aktarılan argümanları kontrol edebilen bir saldırgan, kaçışı atlayarak keyfi kabuk komutlarını çalıştırabilir.”
Bu kusur Rust’un 1.77.2’den önceki tüm sürümlerini etkiliyor. Güvenlik araştırmacısı RyotaK hatayı keşfederek ve CERT Koordinasyon Merkezine bildirerek itibar kazandı (CERT/CC).
RyotaK, BatBadBut kod adlı güvenlik açığının birçok programlama dilini etkilediğini ve “programlama dili CreateProcess işlevini sardığında ortaya çıktığını” söyledi. [in Windows] ve komut argümanları için kaçış mekanizmasını ekler.”
Ancak her programlama dilinin sorunu çözmediği gerçeğinin ışığında, geliştiricilerin Windows’ta komutları çalıştırırken dikkatli olmaları tavsiye ediliyor.
RyotaK, “Toplu iş dosyalarının beklenmeyen şekilde yürütülmesini önlemek için, toplu iş dosyalarını PATH ortam değişkeninde bulunmayan bir dizine taşımayı düşünmelisiniz.” söz konusu kullanıcılara tek kelimeyle tavsiye ederim.
“Bu durumda, toplu iş dosyaları tam yol belirtilmediği sürece yürütülmeyecektir, böylece toplu iş dosyalarının beklenmedik şekilde yürütülmesi engellenebilir.”