Windows環境下の複数開発言語に脆弱性「BatBadBut」が判明

開発言語のライブラリは、共通脆弱性評価システム「CVSS」において高スコアとなっているが、開発アプリケーションで悪用するには一定の条件を満たす必要があり、実装を踏まえてCVSSスコアを再計算する必要があると強調されている。

CERT/CCは、セキュリティアドバイザリを公開し、プログラミング言語の開発者がパッチをリリースしている場合は適用し、未提供の場合は、コマンドの実行を防ぐ対策を盛り込むよう注意喚起を行った。

影響を受ける開発言語について言及しており、4月12日の時点で「PHP」「Node.js」「Rust」「yt-dlp」「Haskell」が影響を受けることが明らかとなっている。

「Rust」「PHP」など一部言語では修正についてアナウンスが行われている。また「Node.js」では、今回公表されたCVE番号とは異なるが、Windowsにおける修正が4月に入ってから実施されている。

（Security NEXT - 2024/04/16 ）ツイート