La découverte a été faite par le chercheur en sécurité RyotaK, qui l’a signalée à l’équipe de développement de Rust. Elle est désormais référencée comme CVE-2024-24576 et a reçu la note maximale de sévérité, soit 10 sur 10. Elle a bien sûr reçu un petit nom pour l’occasion : BatBadBud.

Cette vulnérabilité est présente dans la bibliothèque standard de Rust, cette dernière n’échappant pas correctement les paramètres quand des commandes (batch ou cmd) sont invoquées.

En cas d’exploitation, le risque est que des commandes arbitraires soient transmises. Bien que la faille soit bien celle de Rust, elle remet sur le devant de la scène la manière dont Windows exécute les commandes et lit les arguments qui les accompagnent. En effet, comme expliqué par d’autres, Rust n’est pas le seul langage avec lequel il faut faire attention dans ce contexte.

Ce qui se passe sous Windows

Comme indiqué le 9 avril dans un billet de blog, le groupe de travail Rust Security Response a été mis au courant du problème. Quand des fichiers bat ou cmd sont invoqués depuis une application Rust via l’API Command de Windows, il existe une possibilité qu’un acteur malveillant puisse glisser des arguments spécialement conçus pour exploiter la faille.

« Un attaquant capable de contrôler les arguments transmis au processus créé pourrait exécuter des commandes shell arbitraires en contournant l'échappement », explique ainsi Pietro Albini, l’un des membres du groupe de travail.

Pourquoi un tel problème ? Parce que l’invite de commande de Windows a sa propre logique de séparation des arguments. Une logique différente de celle trouvée dans les API Command::arg et Command::args de la bibliothèque standard de Rust.

Ces dernières permettent normalement de faire passer des arguments en toute sécurité. Mais, « la mise en œuvre est plus complexe que sur les autres plateformes, car l'API Windows ne fournit qu'une seule chaîne de caractères contenant tous les arguments du processus créé », explique Albini. Or, c’est à ce processus créé qu’incombe alors la tâche de diviser les arguments.

Dans ce contexte, l’équipe de sécurité considère que la logique d’échappement de Rust n’est pas « suffisamment rigoureuse ». En conséquence, Chris Denton, l’un des contributeurs de Rust, a développé un correctif pour atténuer – et non supprimer – le problème. Dans la version 1.77.2, des améliorations sont portées au code d’échappement, afin notamment que l’API Command renvoie une erreur (InvalidInput) quand les arguments ne sont pas échappés de manière sécurisée.

Toutes les versions antérieures sont considérées comme vulnérables.

Le problème est présent dans d'autres langages

RyotaK, le découvreur de la faille, a expliqué que d’autres langages peuvent rencontrer le même problème, toujours à cause de la manière dont Windows divise les arguments d’une commande.

Haskell a ainsi déjà son correctif, tandis que Node.js et PHP travaillent sur les leurs. Erlang, Go, Python et Ruby ont mis à jour leur documentation pour sensibiliser les développeurs sur ce sujet. Il est probable que la couverture médiatique de la faille aidera d’ailleurs à mieux les avertir.

Pour le chercheur, le problème de fond réside bien dans Windows, même si les failles de sécurité se trouvent bien dans les langages.

Il donne plusieurs conseils généraux, comme toujours spécifier l’extension de fichier de la commande dans les arguments. Il recommande également de toujours échapper les données contrôlées par l’utilisateur avant de les utiliser comme arguments.

« Pour éviter l'exécution inopinée de fichiers batch, vous devriez envisager de déplacer les fichiers batch dans un répertoire qui n'est pas inclus dans la variable d'environnement PATH. Dans ce cas, les fichiers batch ne seront pas exécutés si le chemin complet n'est pas spécifié, ce qui permet d'éviter l'exécution inopinée de fichiers batch », ajoute le chercheur.

Pourquoi axer la communication sur Rust ?

On peut se poser la question, de multiples langages étant concernés. D’abord, c’est dans Rust que la faille a été découverte. Son fonctionnement a incité d’autres chercheurs et développeurs à analyser le comportement dans d’autres langages.

Ensuite, Rust attire énormément l’attention depuis quelques années, particulièrement depuis qu’il est pris au sérieux par des entreprises comme Google et Microsoft. La première a ainsi investi un million de dollars dans la fondation Rust, tandis que la seconde embauche des développeurs Rust et compte réécrire tout ou partie du noyau Windows dans ce langage. La Maison-Blanche a même exhorté les entreprises technologiques à se pencher sur Rust.

Pourquoi un tel enthousiasme ? Parce que le langage, créé initialement par Mozilla (plus précisément par Graydon Hoare comme projet personnel), a fait ses preuves. C’est essentiellement parce qu’il est memory-safe tout en présentant de bonnes performances, proches de ce que l’on trouve en C et C++. Il est en tête du classement des langages les plus appréciés depuis plusieurs années sur StackOverflow.