Re: [新聞] 程式語言Rust被挖出CVSS滿分10分的重大漏

freeunixer 發表於 2024/4/11 上午4:27:22

看板Gossiping標題Re: [新聞] 程式語言Rust被挖出CVSS滿分10分的重大漏作者

(離自相空她相)時間Apr 11 04:27:22 2024推噓 5 推:5 噓:0 →:7

※ 引述《wei115 (社畜)》之銘言：
: ithome
: 周峻佑
: 程式語言Rust被挖出CVSS滿分10分的重大漏洞，Windows電腦恐因此面臨命令注入攻擊: 程式語言Rust的開發團隊指出，Windows版標準程式庫存在危急（Critical）等級漏洞: CVE-2024-24576，有可能會被攻擊者用於執行任意命令
: 針對這項漏洞發生的原因，開發團隊表示，cmd.exe的運作極為複雜，以致於他們實作時: ，無法找到可涵蓋各種狀態的轉譯參數正確做法。
: https://www.ithome.com.tw/news/162218

推 HowLeeHi: 這弱點就是沒有處理好參數,導致參數資料 36.231.26.203 04/10 20:28

→ HowLeeHi: 可以被當成command來執行,超級危險36.231.26.203 04/10 20:28

推 ronga: 不是windows的問題好嗎....61.228.224.76 04/10 20:59

→ ronga: 是Rust的windows版本有漏洞61.228.224.76 04/10 21:00

這看起來會讓人理解為
用 rust 寫出的 windows 版程式,當它需要傳參給 windows 的 cmd 處理時.
因為沒有 cmd 的 spec,所以沒有辦法正確地做出傳參的對應方式(api模式)

不精確的比喻, rust 可能收到並轉丟了一個 'del c:\*.*' 的字串出去給 cmd,
結果 cmd 收到以後竟然把它當成了指令.
但是 rust 的開發人員又無從得知也無法預先知道
丟了什麼給 cmd 會出現想像不到的結果.因為根本查不到 cmd 這鬼東西的運作邏輯.
也無法用對方式告訴 cmd 'del c:\*.*'只是文字,不是 command...

--
讀者審校網試行版(2018/1/1 更新網址)
http://readerreviewnet.processoroverload.net/
(哲、史、法、政、經、社，人文翻譯書籍錯譯提報網)
◎洪蘭"毀人不倦"舉報專區
http://tinyurl.com/ybfmzwne
讀者需自救，有錯自己改...

※ PTT 留言評論

※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 60.250.90.238 (臺灣)

※ PTT 網址

推

andy199113 04/11 04:32簡單易懂推

推

StylishTrade 04/11 04:48阿不是有AI AI不能判斷惡意與否嗎QQ

推

dosiris 04/11 04:50好奇其他語言丟給cmd字串怎麼就不當指令?

推

MK47 04/11 05:52https://i.imgur.com/lkuu4J5.png

→