{"id":105101,"date":"2022-09-15T09:36:58","date_gmt":"2022-09-15T07:36:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust"},"modified":"2022-09-15T09:36:58","modified_gmt":"2022-09-15T07:36:58","slug":"uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust","title":{"rendered":"Sikkerhedss\u00e5rbarheder i pakkeadministrator Cargo, der anvendes til projekter p\u00e5 Rust-sproget","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I pakkeadministratoren Cargo, der anvendes til at styre pakker og opbygge projekter i Rust, er der opdaget to s\u00e5rbarheder, der kan udnyttes ved at downloade specialdesignede pakker fra tredjepartsrepositorier (det h\u00e6vdes, at brugerne af det officielle repository crates.io ikke er ber\u00f8rt af problemet). Den f\u00f8rste s\u00e5rbarhed (CVE-2022-36113) tillader overskrivning af de f\u00f8rste to byte i enhver fil, s\u00e5 l\u00e6nge de nuv\u00e6rende adgangsrettigheder tillader det. Den anden s\u00e5rbarhed (CVE-2022-36114) kan bruges til at udt\u00f8mme ledig plads p\u00e5 disken. <\/p>\n
S\u00e5rbarhederne vil blive l\u00f8st i Rust version 1.64, der er planlagt til den 22. september. S\u00e5rbarhederne er klassificeret som lav risiko, da lignende skade kan for\u00e5rsages ved brug af uverificerede pakker fra tredjepartsrepositorier gennem den indbyggede mulighed for at k\u00f8re egne h\u00e5ndteringsprogrammer fra de leverede bygge-scripts eller procedurale makroer. De ovenn\u00e6vnte problemer adskiller sig dog ved, at deres udnyttelse finder sted ved afsl\u00f8ringen af pakken efter download (uden bygning). <\/p>\n
Specifikt, efter uploading pakker unzipper cargo indholdet til mappen ~\/ .cargo og gemmer indikatoren for succesfuld udpakning i filen .cargo-ok. Kernen i den f\u00f8rste s\u00e5rbarhed er, at pakkeopretteren kan placere et symbolsk link med navnet .cargo-ok indeni, hvilket f\u00f8rer til, at teksten \u00abok\u00bb skrives til den fil, som linket peger p\u00e5. <\/p>\n
Den anden s\u00e5rbarhed skyldes manglende begr\u00e6nsning p\u00e5 st\u00f8rrelsen af de data, der udtr\u00e6kkes fra arkivet, hvilket kan anvendes til at skabe \u00abzip-bomber\u00bb (i arkivet kan der placeres data, der muligg\u00f8r den maksimale komprimeringsgrad for zip-formatet - omkring 28 millioner gange; i dette tilf\u00e6lde vil en specielt tilberedt zip-fil p\u00e5 10 MB f\u00f8re til udpakning af omkring 281 TB data). \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"