Windows環境下の複数開発言語に脆弱性「BatBadBut」が判明
複数の開発言語ライブラリを「Windows」で利用する際、コマンドインジェクションが可能となる脆弱性「BatBadBut」が明らかとなった。アプリケーションに対する影響は限定的と見られるが、対策が呼びかけられている。
「Windows」環境で利用した際、複数の開発言語において引数のエスケープ処理が適切に行われていない脆弱性が明らかとなったもの。信頼できない因数を処理する場合に任意のコードを実行されるおそれがある。
Flatt SecurityのRyotaK氏が報告したもので、脆弱性は別名「BatBadBut」と名付けられた。同問題に関連して4件のCVE番号「CVE-2024-1874」「CVE-2024-22423」「CVE-2024-24576」「CVE-2024-3566」が割り当てられている。
同脆弱性は、Windowsの「cmd.exe」におけるコマンド引数の解析ルールが複雑であり、適切にエスケープが行われていないことに起因するという。
直接影響を受けるアプリケーションは少ないと見られるが、「CreateProcess」関数に依存している場合に影響があり、「.bat」「.cmd」の場合か、ファイル拡張子を指定せずにコマンドを実行するアプリケーションなども影響を受ける可能性がある。
(Security NEXT - 2024/04/16 )
ツイート
関連リンク
PR
関連記事
全校生徒の名簿データを第三者へメール誤送信 - 大洲市
ゼロデイ攻撃は8カ月以上前 - 「Active! mail」脆弱性の影響拡大に懸念
物流検品システムなどまもなく復旧、物量制限は解除へ - ランテック
コミュニケーションサポーターのメアド流出 - 茨城県国際交流協会
ランサムでシステム障害、配送遅延など影響 - センコーグループ子会社
職員が顧客情報をUSBメモリで持出、日次確認で判明 - 一関信金
「Erlang/OTP」脆弱性、一部Cisco製品で影響が判明
スポーツグッズ通販サイトで個人情報流出か - 不正プログラムや改ざんを確認
ランサム攻撃で暗号化被害、公共工事のデータも - 松永建設
「ActiveMQ NMS OpenWire Client」にRCE脆弱性 - 修正版が公開