Ve správci balíčků Cargo, který se používá pro správu balíčků a sestavování projektů Rust, byly objeveny dvě zranitelnosti. Tyto zranitelnosti lze zneužít stažením speciálně vytvořených balíčků z repozitářů třetích stran (uživatelé oficiálního repozitáře crates.io údajně nejsou ovlivněni). První zranitelnost (CVE-2022-36113) umožňuje přepsání prvních dvou bajtů libovolného souboru v závislosti na aktuálních oprávněních. Druhá zranitelnost (CVE-2022-36114) může být zneužita k vyčerpání místa na disku.
Zranitelnosti budou opraveny ve verzi Rustu 1.64, která je plánována na 22. září. Tyto zranitelnosti jsou hodnoceny jako nízko závažné, protože podobné poškození může být způsobeno použitím neověřených balíčků z repozitářů třetích stran s využitím vestavěné možnosti spouštět obslužné rutiny z build skriptů nebo procedurálních maker poskytovaných balíčkem. Výše uvedené problémy se však liší v tom, že jsou zneužívány během fáze rozšiřování balíčku po načtení (bez buildingu).
Konkrétně po stažení balíčku cargo rozbalí jeho obsah do adresáře ~/.cargo a uloží příznak úspěšného rozbalení do souboru .cargo-ok. První zranitelností je, že tvůrce balíčku může do balíčku umístit symbolický odkaz s názvem .cargo-ok, což způsobí, že se do souboru, na který odkaz odkazuje, zapíše text „ok“.
Druhá zranitelnost je způsobena absencí omezení velikosti dat extrahovaných z archivu, které lze použít k vytvoření „zip bomb“ (archiv může obsahovat data, která mohou dosáhnout maximálního kompresního poměru pro formát zip – přibližně 28 milionůkrát; v tomto případě by například speciálně připravený zip soubor o velikosti 10 MB vedl k rozbalení přibližně 281 TB dat).
Zdroj: opennet.ru
