漏洞概述

漏洞名称

Rust 命令注入漏洞

漏洞编号

QVD-2024-13050,CVE-2024-24576

公开时间

2024-04-09

影响量级

十万级

奇安信评级

高危

CVSS 3.1分数

10.0

威胁类型

命令执行

利用可能性

高

POC状态

已公开

在野利用状态

未发现

EXP状态

未公开

技术细节状态

已公开

危害描述：远程攻击者利用该漏洞能够在目标系统上执行任意命令。

01 漏洞详情

影响组件

Rust 是一种开源的系统编程语言，它专注于安全性、并发性和性能，旨在提供内存安全和线程安全的同时，保持高性能和控制力。

漏洞描述

近日，奇安信CERT监测到Rust官方发布新版本修复Rust 命令注入漏洞(CVE-2024-24576)。在Windows上使用Command API调用批处理文件（使用bat和cmd扩展名）时，Rust标准库没有正确地对参数进行转义。攻击者如果能够控制传递给生成的进程的参数，就可以通过绕过转义来执行任意的Shell命令。目前该PoC已在互联网上公开，鉴于此漏洞影响范围较大，建议客户尽快做好自查及防护。

02 影响范围

影响版本

Rust < 1.77.2（Windows平台）

其他受影响组件

无

03 处置建议

安全更新

官方已发布新版本修复漏洞，建议尽快升级到安全版本1.77.2及以上，链接如下：

https://blog.rust-lang.org/2024/04/09/Rust-1.77.2.html

版本检测

在Windows cmd 或 Powershell中执行命令：

rustc --version

04 参考资料

[1]https://github.com/rust-lang/rust/security/advisories/GHSA-q455-m56c-85mh

[1]https://blog.rust-lang.org/2024/04/09/Rust-1.77.2.html

[1]https://blog.rust-lang.org/2024/04/09/cve-2024-24576.html

声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。