Организация ISRG (Internet Security Research Group), която е учредител на проекта Let’s Encrypt и допринася за развитието на технологии за повишаване на сигурността в интернет, представи проекта zlib-rs за създаване на защитена алтернатива на библиотеката за компресия на данни zlib. Кодът на zlib-rs е написан на език Rust и се разпространява под лиценз Zlib. Разработката е насочена към проекта zlib-ng, който развива високопроизводителен вариант на zlib. Проектът е разработил две библиотеки: zlib-rs с реализации на API zlib, която не използва unsafe блокове; libz-rs-sys — надстройка с поддръжка на C API, съдържаща код в режим „unsafe“.
Като причина за създаването на zlib-rs се споменава намерението да се предостави вариант на zlib, освободен от потенциални пробойни, причинени от грешки при работа с паметта. Според компании като Microsoft и Google около 70% от уязвимостите са причинени от небезопасна работа с паметта. Предполага се, че използването на език Rust за разработването на zlib-rs ще намали риска от появата на уязвимости, причинени от небезопасна работа с паметта, и ще изключи появата на такива грешки, като достъп до памет, след като е била освободена, и излизане извън границите на буфера.
Библиотека Zlib е широко разпространена и се използва като зависимост в много системи, докато в кода на Zlib периодично излизат опасни уязвимости. Например, през 2022 година в zlib бе открито преливане на буфер при опит за компресиране на специално подготвена последователност от символи, което позволява експлоатацията на уязвимостта чрез предаване на специално оформени входни данни.
Източник: opennet.ru
