VU#123335: マイクロソフトWindowsにおける複数のプログラミング言語での引数の適切なエスケープ失敗

Windows 上で実行されるさまざまなプログラミング言語で、コマンドインジェクションの脆弱性が発見されました。これにより、攻撃者はコマンド引数に偽装した任意のコードを実行できます。これは、コマンドと引数に対する適切な検証とエスケープメカニズムが不足しているために発生します。この脆弱性は、ファイル拡張子を指定せずにコマンドを実行するアプリケーションに影響を与え、任意のコマンドを実行するために悪用される可能性があります。マイクロソフトは、2011 年からコマンドの実行とエスケープに関する懸念を文書化しています。この脆弱性の影響は実装によって異なり、ランタイム環境の更新または手動でのエスケープとデータの中立化によって軽減できます。セキュリティ研究者は、影響を受ける特定の言語とそのステータスに関する詳細な情報を提供しています。