Windows環境下の複数開発言語に脆弱性「BatBadBut」が判明

複数の開発言語ライブラリを「Windows」で利用する際、コマンドインジェクションが可能となる脆弱性「BatBadBut」が明らかとなった。アプリケーションに対する影響は限定的と見られるが、対策が呼びかけられている。

「Windows」環境で利用した際、複数の開発言語において引数のエスケープ処理が適切に行われていない脆弱性が明らかとなったもの。信頼できない因数を処理する場合に任意のコードを実行されるおそれがある。

Flatt SecurityのRyotaK氏が報告したもので、脆弱性は別名「BatBadBut」と名付けられた。同問題に関連して4件のCVE番号「CVE-2024-1874」「CVE-2024-22423」「CVE-2024-24576」「CVE-2024-3566」が割り当てられている。

同脆弱性は、Windowsの「cmd.exe」におけるコマンド引数の解析ルールが複雑であり、適切にエスケープが行われていないことに起因するという。

直接影響を受けるアプリケーションは少ないと見られるが、「CreateProcess」関数に依存している場合に影響があり、「.bat」「.cmd」の場合か、ファイル拡張子を指定せずにコマンドを実行するアプリケーションなども影響を受ける可能性がある。

（Security NEXT - 2024/04/16 ）ツイート