Rust 命令注入漏洞(CVE-2024-24576)安全风险通告
Rust 命令注入漏洞(CVE-2024-24576)安全风险通告
奇安信 CERT 2024-04-11 17:40
●
点击↑蓝字关注我们，获取更多安全风险通告
|
漏洞概述 |
|||
|
漏洞名称 |
Rust 命令注入漏洞 |
||
|
漏洞编号 |
QVD-2024-13050,CVE-2024-24576 |
||
|
公开时间 |
2024-04-09 |
影响量级 |
十万级 |
|
奇安信评级 |
高危 |
CVSS 3.1分数 |
10.0 |
|
威胁类型 |
命令执行 |
利用可能性 |
高 |
|
POC状态 |
已公开 |
在野利用状态 |
未发现 |
|
EXP状态 |
未公开 |
技术细节状态 |
已公开 |
|
危害描述：远程攻击者利用该漏洞能够在目标系统上执行任意命令。 |
|||
01
漏洞详情
>
>
>
>
影响组件
Rust 是一种开源的系统编程语言，它专注于安全性、并发性和性能，旨在提供内存安全和线程安全的同时，保持高性能和控制力。
>
>
>
>
漏洞描述
近日，奇安信CERT监测到Rust官方发布新版本修复Rust 命令注入漏洞(CVE-2024-24576)。在Windows上使用Command API调用批处理文件（使用bat和cmd扩展名）时，Rust标准库没有正确地对参数进行转义。攻击者如果能够控制传递给生成的进程的参数，就可以通过绕过转义来执行任意的Shell命令。目前该PoC已在互联网上公开，鉴于此漏洞影响范围较大，建议客户尽快做好自查及防护。
02
影响范围
>
>
>
>
影响版本
Rust < 1.77.2（Windows平台）
>
>
>
>
其他受影响组件
无
03
处置建议
>
>
>
>
安全更新
官方已发布新版本修复漏洞，建议尽快升级到安全版本1.77.2及以上，链接如下：
https://blog.rust-lang.org/2024/04/09/Rust-1.77.2.html
版本检测
在Windows cmd 或 Powershell中执行命令：
rustc –version
04
参考资料
[1]https://github.com/rust-lang/rust/security/advisories/GHSA-q455-m56c-85mh
[
1]
https://blog.rust-lang.org/2024/04/09/Rust-1.77.2.html
[
1]
https://blog.rust-lang.org/2024/04/09/cve-2024-24576.html
05
时间线
2024年4月11日，奇安信 CERT发布安全风险通告。
06
漏洞情报服务
奇安信ALPHA威胁分析平台已支持漏洞情报订阅服务：
奇安信 CERT
致力于
第一时间为企业级用户提供权威漏洞情报和有效
解决方案。
点击↓阅读原文，到
ALPHA威胁分析平台
订阅更多漏洞信息。