Organizace ISRG (Internet Security Research Group), která je založena na projektu Let’s Encrypt a podporuje vývoj technologií pro zvýšení bezpečnosti internetu, představila projekt zlib-rs pro vytvoření bezpečné varianty knihovny pro kompresi dat zlib. Kód zlib-rs je napsán v jazyce Rust a distribuuje se pod licencí Zlib. Vývoj se zaměřuje na projekt zlib-ng, který vyvíjí vysoce výkonnou variantu zlib. Projektem byly vyvinuty dvě knihovny: zlib-rs s implementací API zlib, která nepoužívá bloky unsafe; libz-rs-sys — nadstavba s podporou C API, obsahující kód v režimu 'unsafe'.
Jako důvod pro vytvoření zlib-rs se uvádí záměr poskytnout variantu zlib, zbavenou potenciálních problémů způsobených chybami při práci s pamětí. Podle údajů společností Microsoft a Google přibližně 70 % zranitelností je způsobeno nebezpečnou prací s pamětí. Předpokládá se, že použití jazyka Rust pro vývoj zlib-rs sníží riziko vzniku zranitelností způsobených nebezpečnou prací s pamětí a vyloučí vznik takových chyb, jako je přístup k oblasti paměti po jejím uvolnění a přetečení bufferu.
Knihovna Zlib je široce používaná a používaná jako závislost v mnoha systémech, přičemž se v kódu Zlib občas objevují nebezpečné zranitelnosti. Například v roce 2022 bylo v zlib objeveno přetečení bufferu při pokusu o kompresi speciálně připravené sekvence znaků, které umožnilo zneužít zranitelnost prostřednictvím předání speciálně formátovaných vstupních dat.
Zdroj: opennet.ru
