মরিচা প্রকল্পের জন্য ব্যবহৃত কার্গো প্যাকেজ ম্যানেজারের দুর্বলতা

কার্গো প্যাকেজ ম্যানেজারে, প্যাকেজগুলি পরিচালনা করতে এবং মরিচা ভাষায় প্রকল্প তৈরি করতে ব্যবহৃত হয়, দুটি দুর্বলতা চিহ্নিত করা হয়েছে যা তৃতীয় পক্ষের সংগ্রহস্থল থেকে বিশেষভাবে ডিজাইন করা প্যাকেজগুলি ডাউনলোড করার সময় ব্যবহার করা যেতে পারে (এটি বলা হয়েছে যে সরকারী crates.io সংগ্রহস্থলের ব্যবহারকারীরা সমস্যা দ্বারা প্রভাবিত হয় না)। প্রথম দুর্বলতা (CVE-2022-36113) যেকোনো ফাইলের প্রথম দুটি বাইটকে ওভাররাইট করার অনুমতি দেয় যতক্ষণ না বর্তমান অনুমতিগুলি অনুমতি দেয়। দ্বিতীয় দুর্বলতা (CVE-2022-36114) ডিস্কের স্থান নিষ্কাশন করতে ব্যবহার করা যেতে পারে।

1.64 সেপ্টেম্বরের জন্য নির্ধারিত মরিচা 22 রিলিজে দুর্বলতাগুলি ঠিক করা হবে। দুর্বলতাগুলিকে নিম্ন স্তরের তীব্রতা বরাদ্দ করা হয়েছে, যেহেতু প্যাকেজে সরবরাহ করা অ্যাসেম্বলি স্ক্রিপ্ট বা পদ্ধতিগত ম্যাক্রোগুলি থেকে কাস্টম হ্যান্ডলারগুলি চালু করার স্ট্যান্ডার্ড ক্ষমতা ব্যবহার করে তৃতীয়-পক্ষের সংগ্রহস্থল থেকে যাচাই না করা প্যাকেজগুলি ব্যবহার করার সময় অনুরূপ ক্ষতি হতে পারে। একই সময়ে, উপরে উল্লিখিত সমস্যাগুলির মধ্যে পার্থক্য রয়েছে যে সেগুলি ডাউনলোড করার পরে প্যাকেজটি খোলার পর্যায়ে শোষিত হয় (অ্যাসেম্বলি ছাড়া)।

বিশেষ করে, একটি প্যাকেজ ডাউনলোড করার পর, কার্গো তার বিষয়বস্তু ~/.cargo ডিরেক্টরিতে আনপ্যাক করে এবং .cargo-ok ফাইলে সফলভাবে আনপ্যাক করার চিহ্ন সংরক্ষণ করে। প্রথম দুর্বলতার সারমর্ম হল যে প্যাকেজ নির্মাতা .cargo-ok নামের ভিতরে একটি প্রতীকী লিঙ্ক স্থাপন করতে পারেন, যা লিংক দ্বারা নির্দেশিত ফাইলে "ঠিক আছে" লেখাটি লিখতে পরিচালিত করবে।

দ্বিতীয় দুর্বলতাটি আর্কাইভ থেকে বের করা ডেটার আকারের সীমা না থাকার কারণে ঘটে, যা "জিপ বোমা" তৈরি করতে ব্যবহার করা যেতে পারে (আর্কাইভে এমন ডেটা থাকতে পারে যা জিপ ফর্ম্যাটের জন্য সর্বাধিক কম্প্রেশন অনুপাত অর্জন করতে দেয় - প্রায় 28 মিলিয়ন বার, এই ক্ষেত্রে, উদাহরণস্বরূপ, একটি বিশেষভাবে প্রস্তুত 10 এমবি জিপ ফাইলের ফলে প্রায় 281 টিবি ডেটার ডিকম্প্রেশন হবে)।

উত্স: opennet.ru