Aggiornamenti recenti Settembre 17th, 2025 4:45 PM
Apr 10, 2024 Marina Londei In evidenza, News, Vulnerabilità 0
Il Rust Security Response WG ha reso nota l’esistenza di una vulnerabilità critica nella Rust Standard Library che consente a un attaccante di eseguire comandi di shell arbitrari. Il bug, tracciato come CVE-2024-25476, è causato dall’escaping improprio degli argomenti usati nelle invocazioni dei file batch (con estensioni .bat
e .cmd
) usando l’API Command. Il problema si presenta solo sui dispositivi Windows.
Il team di sicurezza spiega che un attaccante può sfruttare questo bug controllando gli argomenti passati al processo, inserendo dei comandi che vengono eseguiti senza controlli aggiuntivi.
La documentazione delle API Command::arg
e Command:args
specifica che gli argomenti passati al processo non vengono eseguiti dalla shell, ma in Windows l’implementazione è un po’ più complessa. L’API di Windows passa al processo una singola stringa che contiene tutti gli argomenti, ed è il processo che si occupa di dividerli. In alcuni casi i processi usano cmd.exe
che usa una propria logica per suddividere gli argomenti e anche una logic custom di escaping, la quale non protegge da attacchi di command injection.
Pixabay
A scoprire il bug è stato un ricercatore di Flatt Security (Ryotak su X). Il ricercatore ha notificato subito il team di sicurezza e la compagnia ha rilasciato una nuova versione della Standard Library dove gestisce il problema.
A causa della complessità di cmd.exe
, il team del Rust Security Response WG non è riuscita a identificare una soluzione che potesse effettuare correttamente l’escape degli argomenti in tutti i casi; la compagnia ha scelto quindi di migliorare la robustezza del processo di escaping aggiungendo la gestione dell’errore di InvalidInput quando la libreria non riesce a effettuare l’escape di un argomento in sicurezza.
Il fix per la vulnerabilità è disponibile nella versione 1.77.2 di Rust rilasciata il 9 aprile. Tutte le versioni precedenti all’ultima soffrono del bug e andrebbero aggiornate il prima possibile.
Set 08, 2025 0
Set 03, 2025 0
Ago 11, 2025 0
Giu 30, 2025 0
Set 17, 2025 0
Set 16, 2025 0
Set 15, 2025 0
Set 15, 2025 0
Set 17, 2025 0
La minaccia di MuddyWater non si arresta, anzi: negli...Set 12, 2025 0
L’intelligenza artificiale diventa non solo...Set 11, 2025 0
Il ransomware continua a dilagare e rimane la minaccia...Ago 29, 2025 0
Il prossimo 14 ottobre terminerà ufficialmente il supporto...Ago 26, 2025 0
Il mondo dell’IoT rimane uno dei più esposti alle...Gen 29, 2025 0
Con l’avvento dell’IA generativa...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Set 17, 2025 0
La minaccia di MuddyWater non si arresta, anzi: negli...Set 16, 2025 0
I ricercatori della compagnia di sicurezza Socket hanno...Set 15, 2025 0
La nuova squadra italiana per le competizioni di...Set 15, 2025 0
La scorsa settimana il CERT-AGID ha identificato e...Set 12, 2025 0
L’intelligenza artificiale diventa non solo...