【缝隙公告】Rust号令注入缝隙（CVE-2024-24576）
颁布功夫 2024-04-10一、缝隙概述
缝霞称 | Rust号令注入缝隙 | ||
CVE ID | CVE-2024-24576 | ||
缝隙类型 | 号令注入 | 发现功夫 | 2024-04-10 |
缝隙评分 | 10.0 | 缝隙等级 | 严沉 |
攻击向量 | 网络 | 所需权限 | 无 |
利用难度 | 低 | 用户交互 | 无 |
PoC/EXP | 未知 | 在野利用 | 未知 |
Rust是一种通用、编译型编程说话 ，强调机能、类型安全和并发性 ，支持函数式、并发式、过程式以及面向对象的编程风格 。
2024年4月10日 ，GA黄金甲VSRC监测到Rust 尺度库中存在号令注入缝隙（CVE-2024-24576 ，被称为BatBadBut） ，该缝隙的CVSS评分为10.0 ，可能在Windows系统上导致号令注入攻击 ，目前该缝隙的细节已公开 。
Rust尺度库1.77.2 版本之前 ，在 Windows 上使用Command API 挪用批处置文件（带有bat和cmd扩大名）时 ，Rust 尺度库没有正确转义批处置文件的参数 ，可能节造传递给天生过程的参数的攻击者可绕过转义执行肆意shell 号令 。
二、缝隙复现
三、影响领域
Rust < 1.77.2（Windows平台）
注：若是代码或依赖项之一使用不受信赖的参数执行批处置文件 ，则 Windows 上 1.77.2 之前的所有 Rust 版本城市受到影响 ，其他平台或使用不易受到影响 。
BatBadBut缝隙允许攻击者在满足特定前提时对间接依赖CreateProcess函数的Windows利用法式执行号令注入 。CreateProcess函数在执行批处置文件时会隐式天生cmd.exe 。
BatBadBut缝隙可能影响Erlang、Go、Haskell、Java、Node.js、PHP、Python、Ruby、Rust等多种编程说话 ，当编程说话封装 CreateProcess 函数并为号令参数增长转义机造时存在安全问题 ，导致恶意号令行参数可能可能执行号令注入 。
有关CVE蕴含CVE-2024-1874、CVE-2024-22423、CVE-2024-24576（Rust）、CVE-2024-3566 、CVE-2024-27980（Node.js）等 ，目前PHP、Rust、Node.js等编程说话已颁布了建复版本 ，详情可参考：https://kb.cert.org/vuls/id/123335
四、安全措施
4.1 升级版本
目前官方已在Rust 版本1.77.2中缓解建复了该缝隙 ，改进了转义代码的稳重性 ，并更改了Command API ，使其在无法安全地转义参数时返回InvalidInput谬误 。受影响用户可更新到Rust 1.77.2或更高版本 。
下载链接：
https://blog.rust-lang.org/2024/04/09/Rust-1.77.2.html
版本检测：
在Windows cmd 或 Powershell中执行号令：rustc --version或者 rustc -V
4.2 一时措施
预防在Windows上使用不受信赖的参数挪用批处置文件 。
4.3 通用建议
l 定期更新系统补丁 ，削减系统缝隙 ，提升服务器的安全性 。
l 加强系统和网络的接见节造 ，批改防火墙战术 ，关关非必要的利用端口或服务 ，削减将危险服务（如SSH、RDP等）露出到公网 ，削减攻击面 。
l 使用企业级安全产品 ，提升企业的网络安全机能 。
l 加强系统用户和权限治理 ，启用多成分认证机造和最幼权限准则 ，用户和软件权限应维持在最低限度 。
l 启用强密码战术并设置为定期批改 。
4.4 参考链接
https://blog.rust-lang.org/2024/04/09/cve-2024-24576.html
https://github.com/rust-lang/rust/security/advisories/GHSA-q455-m56c-85mh
https://flatt.tech/research/posts/batbadbut-you-cant-securely-execute-commands-on-windows/
https://kb.cert.org/vuls/id/123335
五、版本信息
版本 | 日期 | 备注 |
V1.0 | 2024-04-10 | 初次颁布 |
V1.1 | 2024-04-12 | 新增缝隙复现、有关CVE信息及版本检测 |
六、附录
6.1 GA黄金甲简介
GA黄金甲成立于1996年 ，是由留美博士严望佳女士创建的、占有齐全自主知识产权的信息安全高科技企业 。是国内最具实力的信息安全产品、安全服务解决规划的领航企业之一 。
公司总部位于北京市中关村软件园GA黄金甲大厦 ，公司员工6000余人 ，研发团队1200余人, 技术服务团队1300余人 。在全国各省、视注自治区设立分支机构六十多个 ，占有覆盖全国的销售系统、渠路系统和技术支持系统 。公司于2010年6月23日在深圳中幼板挂牌上市 。（股票代码：002439）
多年来 ，GA黄金甲致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务 ，援手客户全面提升其IT基础设施的安全性和出产效力 ，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力 。
6.2 关于GA黄金甲
GA黄金甲安全应急响应中心已颁布1000多个缝隙公告微风险预警 ，我们将持续跟踪全球最新的网络安全事务和缝隙 ，为企业的信息安全保驾护航 。
关注我们：
京公网安备11010802024551号