CVE-2024-3566

Command injection w aplikacjach Windows korzystających z CreateProcess

CVSS 9.8v3.1pub. 2024-04-10upd. 2026-05-15

Podatność typu command injection umożliwia atakującemu zdalne wykonanie dowolnych poleceń w aplikacjach działających pod systemem Windows, które pośrednio korzystają z funkcji CreateProcess. Ocena CVSS 9.8 czyni ją podatnością krytyczną, wymagającą natychmiastowej uwagi.

▸ Pokaż oryginał (EN)

A command inject vulnerability allows an attacker to perform command injection on Windows applications that indirectly depend on the CreateProcess function when the specific conditions are satisfied.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej obsługi argumentów wiersza poleceń przekazywanych do funkcji CreateProcess w systemie Windows. Gdy spełnione są określone warunki, atakujący może wstrzyknąć dodatkowe polecenia systemowe poprzez spreparowane dane wejściowe. Dotyczy to aplikacji napisanych w Haskell (biblioteka Process), Node.js oraz PHP, które pośrednio wywołują CreateProcess bez odpowiedniego sanityzowania argumentów. W efekcie złośliwy payload może być interpretowany przez system operacyjny jako odrębne polecenie.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem — wykonać dowolny kod, uzyskać dostęp do poufnych danych oraz zakłócić działanie aplikacji lub całego serwera (naruszenie poufności, integralności i dostępności).

Mitygacja

Należy zastosować patche dostępne u producentów poszczególnych środowisk (Haskell, Node.js, PHP) zgodnie z referencjami. Dodatkowo zaleca się weryfikację i sanityzację wszelkich danych wejściowych przekazywanych do funkcji uruchamiających procesy systemowe na platformie Windows.

Kogo dotyczy

Aplikacje Windows korzystające z: biblioteki Haskell Process Library, środowiska Node.js oraz PHP — w wersjach wskazanych w referencjach producenta — które pośrednio wywołują funkcję CreateProcess.

Uwagi

Podatność jest opisana w badaniu opublikowanym przez Flatt Security pod nazwą 'BatBadBut'. Powiązane CVE wymienione w referencjach to CVE-2024-1874 oraz CVE-2024-22423. Problem dotyczy specyfiki obsługi argumentów wiersza poleceń w systemie Windows opisanej w dokumentacji Microsoft.