Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

Windows環境下の複数開発言語に脆弱性「BatBadBut」が判明

複数の開発言語ライブラリを「Windows」で利用する際、コマンドインジェクションが可能となる脆弱性「BatBadBut」が明らかとなった。アプリケーションに対する影響は限定的と見られるが、対策が呼びかけられている。

「Windows」環境で利用した際、複数の開発言語において引数のエスケープ処理が適切に行われていない脆弱性が明らかとなったもの。信頼できない因数を処理する場合に任意のコードを実行されるおそれがある。

Flatt SecurityのRyotaK氏が報告したもので、脆弱性は別名「BatBadBut」と名付けられた。同問題に関連して4件のCVE番号「CVE-2024-1874」「CVE-2024-22423」「CVE-2024-24576」「CVE-2024-3566」が割り当てられている。

同脆弱性は、Windowsの「cmd.exe」におけるコマンド引数の解析ルールが複雑であり、適切にエスケープが行われていないことに起因するという。

直接影響を受けるアプリケーションは少ないと見られるが、「CreateProcess」関数に依存している場合に影響があり、「.bat」「.cmd」の場合か、ファイル拡張子を指定せずにコマンドを実行するアプリケーションなども影響を受ける可能性がある。

(Security NEXT - 2024/04/16 ) このエントリーをはてなブックマークに追加

PR

関連記事

積水ハウスの会員サイトで個人情報流出 - 過去使用ページから
「Chrome」に今月4件目のゼロデイ脆弱性 - 悪用を確認
中学校で災害時に用いる個人票1クラス分が所在不明に - 二宮町
オンラインマラソンの案内メールで誤送信 - 袋井市スポーツ協会
学校施設開放の鍵貸出簿が強風で飛散、一部未回収 - 葉山町
第三者のYouTube動画に患者の電子カルテ情報 - 群大付属病院
新シリーズ「FortiGate 200G」を発表 - フォーティネット
活用進む「AI」、攻撃者側より対策側に多くの恩恵との声も
約3割が過去3年間にサイバー攻撃の被害経験 - ランサムは3.8%
サーバ運用監視ソフト「Cacti」にアップデート - 複数脆弱性を修正