Уязвимости в мениджъра на пакети Cargo, използван за Rust проекти

В мениджъра на пакети Cargo, използван за управление на пакети и изграждане на проекти на езика Rust, са идентифицирани две уязвимости, които могат да бъдат използвани при изтегляне на специално проектирани пакети от хранилища на трети страни (посочено е, че потребителите на официалното хранилище crates.io не са засегнати от проблема). Първата уязвимост (CVE-2022-36113) позволява първите два байта на всеки файл да бъдат презаписани, стига текущите разрешения да позволяват. Втората уязвимост (CVE-2022-36114) може да се използва за изчерпване на дисково пространство.

Уязвимостите ще бъдат коригирани в изданието на Rust 1.64, насрочено за 22 септември. На уязвимостите е присвоено ниско ниво на сериозност, тъй като подобна вреда може да бъде причинена при използване на непроверени пакети от хранилища на трети страни, като се използва стандартната възможност за стартиране на потребителски манипулатори от асемблиращи скриптове или процедурни макроси, доставени в пакета. В същото време горепосочените проблеми се различават по това, че се използват на етапа на отваряне на пакета след изтегляне (без сглобяване).

По-специално, след изтегляне на пакет, cargo разопакова съдържанието му в директорията ~/.cargo и съхранява знак за успешно разопаковане във файла .cargo-ok. Същността на първата уязвимост е, че създателят на пакета може да постави вътре символна връзка с името .cargo-ok, което ще доведе до изписване на текста „ok“ във файла, към който сочи връзката.

Втората уязвимост е причинена от липсата на ограничение за размера на данните, извлечени от архива, които могат да се използват за създаване на „zip бомби“ (архивът може да съдържа данни, които позволяват постигане на максимално съотношение на компресия за zip формата - около 28 милиона пъти, в този случай, например, специално подготвен 10 MB zip файл ще доведе до декомпресиране на приблизително 281 TB данни).

Източник: opennet.ru