多くのプログラミング言語に危険な脆弱性 ～Windows環境の引数エスケープ処理に不備「Rust」「PHP」「Node.js」「Haskell」などに影響／

[z67kjh]

CreateProcessはbypass_shellモードを指定していても引数に*.batや*.cmdがあると勝手にシェルを起動する…この状況で適切にエスケープしろと言われても、ウンコに説教を垂れられている気分だ

[murasuke]

“ 「Rust」言語の場合、「cmd.exe」が複雑過ぎてすべてのケースで引数を正しくエスケープする解決策が見つからなかった”ほかの言語は大丈夫なのか？

[craftone]

Rustコミュニティが匙を投げてるのに他の言語がちゃんと対応できるとは思えんな。。

[strawberryhunter]

JavaとかPythonとか脆弱性が報告されていない言語の実装を見れば良さそうな気もするけど。Rustの対応→https://github.com/rust-lang/rust/compare/1.77.1...1.77.2

[matarillo]

Windowsの仕様は複雑怪奇で脆弱性を埋め込みやすいので捨てたい気持ちはわかるが「Windowsを直せ」は多分通らない。cmd.exeを暗黙に呼ばないWin32APIがあれば嬉しいけど、cmd.exeを明示的に呼ぶ時は結局エスケープに苦労する

[kumaroku]

a

[defiant]

この記事をおすすめしました

[asakura-t]

↓「CreateProcess()で意図せずcmd.exeを利用してしまう」のが問題っぽいので、cmd.exeのバグではないのでは？

[xlc]

Windows(MS-DOS?)を直すべきでは？

[Falky]

なんもわからん手なのだけど、それはWindows側の脆弱性ではないんです…？CreateProcess()あるいはcmd.exeを直すべき話じゃないのかしら…。互換性無罪？ https://flatt.tech/research/posts/batbadbut-you-cant-securely-execute-commands-on-windows/

[Fushihara]

Windowsは根っこのプロセス起動APIでコマンドライン引数を配列ではなく1つの文字列しか渡せない仕様をいい加減なんとかしてくれ〜

[deep_one]

cmd.exeの側では「バグではなく仕様」なのかな。