Af Eskil Sørensen, 10/04/24
Der er fundet en kritisk sårbarhed i Rust-standardbiblioteket, der kan anvendes til målrettede angreb mod Windows-systemer via "Command Injection" angreb. Det fremgår af en blog fra Rust-teamet.
Sårbarheden har id’et CVE-2024-24576 og en CVSS-score på 10. Det er GitHub, der har vurderet sårbarheden til at have den maksimale CVSS-score, da ondsindede angribere kan udnytte sårbarheden fra ekstern hold (RCE) i et angreb med lav kompleksitet og uden brugerinteraktion.
Alle Rust-versioner før 1.77.2 på Windows systemer er påvirket
Der er endnu ikke rapporter om aktiv udnyttelse, men der er forventninger om, at det vil prøves, når nu sårbarheden er offentliggjort.
Den tekniske beskrivelse af sårbarhed viser, at der vil ske en uhensigtsmæssig håndtering af input når batchfiler bliver kaldt (med ".bat" og ".cmd"-udvidelserne) på Windows OS. Det kan udnyttes af ondsindede angribere til at kontrollere de argumenter der sendes mellem processer til at udføre vilkårlige shell-kommandoer. Alvoren af denne sårbarhed er afhængig af, med hvilke rettigheder de involverede processer er installeret.
Derfor anbefales det, som altid, at systemer installeres med mindst mulige rettigheder. Desuden anbefales det, at opdatere til Rust 1.77.2.
Links:
https://blog.rust-lang.org/2024/04/09/Rust-1.77.2.html
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-24576