Уязвимости в пакетния мениджър Cargo, използван в проекти на езика Rust

В пакетния мениджър Cargo, използван за управление на пакети и компилация на проекти на езика Rust, са открити две уязвимости, които могат да се експлоатират при изтегляне на специално оформени пакети от външни репозитории (твърди се, че потребителите на официалния репозиторий crates.io не са засегнати от проблема). Първата уязвимост (CVE-2022-36113) позволява презаписване на първите два байта във всеки файл, колкото позволяват текущите права за достъп. Втората уязвимост (CVE-2022-36114) може да бъде използвана за изчерпване на свободното пространство на диска.

Уязвимостите ще бъдат отстранени в версия Rust 1.64, насрочена за 22 септември. На уязвимостите е присвоен нисък ниво на опасност, тъй като подобен вреден ефект може да бъде причинен при използване на непроверени пакети от външни репозитории с помощта на вградената възможност за стартиране на собствени обработчици от предоставените в пакета скриптове за компилация или процедурни макроси. В същото време гореспоменатите проблеми се различават по това, че тяхната експлоатация става на етапа на разкритие на пакета след изтегляне (без компилация).

В частност, след изтегляне на пакета Cargo разархивира неговото съдържание в директория ~/.cargo и записва признака за успешно разархивиране в файл .cargo-ok. Същността на първата уязвимост е, че създателят на пакета може да разположи символична връзка с името .cargo-ok, което ще доведе до запис на текста „ok“ във файла, на който указва връзката.

Втората уязвимост е причинена от липсата на ограничение на размера на данните, извлечени от архива, което може да се използва за създаване на „zip-бомби“ (в архива могат да бъдат разположени данни, които позволяват да се постигне максимална степен на компресия за формата zip — около 28 милиона пъти, в този случай, например, специално подготвен zip-файл с размер 10 MB ще доведе до разархивиране на около 281 TB данни).

Източник: opennet.ru