PT-2024-5911 · Rust+1 · Rust+1

4Xpl0R3R · Publicado 2024-04-09 · Atualizado 2025-07-19 · CVE-2024-43402

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Rust (versões afetadas não especificadas)

Descrição

O problema está relacionado ao componente std::process::Command da linguagem de programação Rust em sistemas operacionais Windows. Envolve a injeção ou modificação de argumentos, permitindo potencialmente que um invasor execute código arbitrário ao chamar arquivos em lote do usuário com extensões .bat e .cmd.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Argument Injection

OS Command Injection

Enumeração de Fraquezas

CWE-88

CWE-78

Identificadores relacionados

ALT-PU-2024-15409

ALT-PU-2024-15614

BDU:2024-06717

CVE-2024-43402

GHSA-2XG3-7MM6-98JJ

Produtos afetados

Alt Linux

Rust

Referências · 24

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/43xxx/CVE-2024-43402.json · Exploit
• https://github.com/rust-lang/rust/security/advisories/GHSA-2xg3-7mm6-98jj · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-43402 · Nota de Segurança
• https://blog.rust-lang.org/2024/09/04/cve-2024-43402.html · Nota
• https://learn.microsoft.com/en-us/troubleshoot/windows-client/shell-experience/file-folder-name-whitespace-characters · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2024-06717 · Nota de Segurança
• https://twitter.com/hasdid/status/1835480498446925938 · Publicação no Twitter
• https://t.me/cvedetector/4816 · Publicação no Telegram
• https://t.me/cvenotify/93300 · Publicação no Telegram
• https://twitter.com/dev_talk/status/1831397721493651714 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1831407378413113363 · Publicação no Twitter
• https://twitter.com/imabit_inc/status/1835072825482195163 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-43402 · Aviso do Fabricante
• https://t.me/cvenotify/96702 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1831354569214906373 · Publicação no Twitter