Windows環境でコマンドインジェクションを引き起こす脆弱性、複数のプログラミング言語に影響：攻撃の成立条件は限定的

Flatt Securityは、複数のプログラミング言語に存在する、Windows環境でコマンドインジェクションを引き起こす脆弱性に関する解説を公式ブログの英語版で公開した。

[＠IT]

　サイバーセキュリティ関連サービスを手掛ける日本のFlatt Securityは2024年4月9日、複数のプログラミング言語に存在する、Windows環境でコマンドインジェクションを引き起こす脆弱（ぜいじゃく）性に関する解説を公式ブログの英語版で公開した。

　それによると、この脆弱性は、特定の条件が満たされた場合に、「CreateProcess」関数に間接的に依存するWindowsアプリケーションに対して攻撃者がコマンドインジェクションを実行できるというものだ。

　同社はこの脆弱性を「BatBadBut」と呼んでいる。バッチファイル（BATch files）に関する脆弱性であり、悪い（BAD）ものだが（BUT）、最悪ではないからだ。