JVNDB-2024-029786

 Fedora Project等の複数ベンダの製品における複数の脆弱性

Rustはプログラミング言語です。Rust標準ライブラリのバージョン1.77.2以前のWindows環境では、Commandを利用してバッチファイル（batやcmd拡張子）を実行する際、引数のエスケープ処理が十分でなく、攻撃者が細工した引数を渡すことで任意のシェルコマンドが実行される可能性がありました。この問題は、Windows上で信頼できない入力をバッチファイルの引数として渡す場合において、特に深刻です。他のプラットフォームや用途には影響しません。Command::argやCommand::args APIについては、渡した引数がそのままプロセスに渡され、シェルによる評価が行われないとドキュメントに明記されていますので、信頼できない入力も安全に扱えると期待されていました。しかし、Windowsではプロセスへ渡す引数が1つの文字列としてAPIに渡され、実際の分割や解釈が呼び出されたプログラムごとに異なるため、処理が複雑になります。特に、cmd.exe（バッチファイルの実行時に使用）には独自の分割規則があるため、Rust標準ライブラリでのエスケープ処理が不十分でした。根本的な解決策として、エスケープできない場合にはエラー（InvalidInput）を返すようにCommand APIが修正されました。この修正はRust 1.77.2に含まれています。

Fedora Project

• Fedora 38
• Fedora 39
• Fedora 40

The Rust Programming Language

• Rust 1.77.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

CERT Coordination Center

• CERT Vulnerability Notes Database : VU#123335 - Multiple programming languages fail to escape arguments properly in Microsoft Windows

Fedora Project

• Fedora mailing-lists : [SECURITY] Fedora 40 Update: rust-1.77.2-1.fc40 - package-announce - Fedora mailing-lists
• Fedora mailing-lists : [SECURITY] Fedora 38 Update: rust-1.77.2-1.fc38 - package-announce - Fedora mailing-lists
• Fedora mailing-lists : [SECURITY] Fedora 39 Update: rust-1.77.2-1.fc39 - package-announce - Fedora mailing-lists

GitHub

• GitHub Advisory Database : `std::process::Command` did not properly escape arguments of batch files on Windows  Advisory  rust-lang/rust  GitHub

Openwall

• Openwall mailing list archives : oss-security - CVE-2024-24576: Rust 1.77.1 and earlier did not properly escape arguments of batch files on Windows

1. OSコマンドインジェクション(CWE-78) [NVD評価]
2. OSコマンドインジェクション(CWE-78) [その他]
3. 引数の挿入または変更(CWE-88) [その他]

1. CVE-2024-24576

1. National Vulnerability Database (NVD) : CVE-2024-24576
2. 関連文書 : CommandExt in std::os::windows::process - Rust
3. 関連文書 : Command in std::process - Rust (https://doc.rust-lang.org/std/process/struct.Command.html#method.args)
4. 関連文書 : Command in std::process - Rust (https://doc.rust-lang.org/std/process/struct.Command.html)
5. 関連文書 : Command in std::process - Rust (https://doc.rust-lang.org/std/process/struct.Command.html#method.arg)
6. 関連文書 : ErrorKind in std::io - Rust
7. 関連文書 : Issues  rust-lang/rust  GitHub
8. 関連文書 : Security policy - Rust Programming Language

• [2026年01月07日]
    掲載