Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

Windows環境下の複数開発言語に脆弱性「BatBadBut」が判明

複数の開発言語ライブラリを「Windows」で利用する際、コマンドインジェクションが可能となる脆弱性「BatBadBut」が明らかとなった。アプリケーションに対する影響は限定的と見られるが、対策が呼びかけられている。

「Windows」環境で利用した際、複数の開発言語において引数のエスケープ処理が適切に行われていない脆弱性が明らかとなったもの。信頼できない因数を処理する場合に任意のコードを実行されるおそれがある。

Flatt SecurityのRyotaK氏が報告したもので、脆弱性は別名「BatBadBut」と名付けられた。同問題に関連して4件のCVE番号「CVE-2024-1874」「CVE-2024-22423」「CVE-2024-24576」「CVE-2024-3566」が割り当てられている。

同脆弱性は、Windowsの「cmd.exe」におけるコマンド引数の解析ルールが複雑であり、適切にエスケープが行われていないことに起因するという。

直接影響を受けるアプリケーションは少ないと見られるが、「CreateProcess」関数に依存している場合に影響があり、「.bat」「.cmd」の場合か、ファイル拡張子を指定せずにコマンドを実行するアプリケーションなども影響を受ける可能性がある。

(Security NEXT - 2024/04/16 ) このエントリーをはてなブックマークに追加

PR

関連記事

施設指定管理者がバスツアー当選メールをCC送信 - 寒川町
サーバから個人情報流出、不審メールに注意喚起 - 日本ユースホステル協会
決裁文書など書類4件が庁内で所在不明に、盗難か - 四条畷市
「IBM AIX」に複数のRCE脆弱性が判明 - パッチや暫定修正プログラムを公開
新規アプリ登録者のメアド流出、システム設定ミスで - マクドナルド
エンプラサーバなどに採用されるAMI製「BMC」にRCE脆弱性
フィッシングURLが約48%減 - 約1年ぶりの2万件台
「PHP」に複数脆弱性 - セキュリティアップデートがリリース
「北海道じゃらん」に攻撃、個人情報流出か - フィッシング攻撃も
米政府、バックアップソフトやIPカメラの脆弱性悪用に注意喚起