服务公告
Rust 命令注入漏洞预警(CVE-2024-24576)
2024-04-12
一、概要
近日,华为云关注到Rust官方发布安全公告,披露Rust < 1.77.2版本中存在一处高危级别的命令注入漏洞(CVE-2024-24576)。当在Windows上使用Command API调用批处理文件(使用bat和cmd扩展名)时,由于Rust标准库对参数的转义功能存在缺陷,攻击者利用该漏洞可绕过转义实现在目标主机上执行任意的Shell命令。目前漏洞POC已公开,风险高。
Rust是一门专注于安全性、并发性、高效性的开源系统编程语言。华为云提醒使用Rust的用户及时安排自检并做好安全加固。
参考链接:
https://github.com/rust-lang/rust/security/advisories/GHSA-q455-m56c-85mh
https://blog.rust-lang.org/2024/04/09/cve-2024-24576.html
二、威胁级别
威胁级别:【严重】
(说明:威胁级别共四级:一般、重要、严重、紧急)
三、漏洞影响范围
影响版本:
Rust < 1.77.2
安全版本:
Rust 1.77.2
四、漏洞处置
目前,官方已发布新版本修复了该漏洞,请受影响的用户升级到安全版本:
https://blog.rust-lang.org/2024/04/09/Rust-1.77.2.html
注:修复漏洞前请将资料备份,并进行充分测试。