Das Projekt zur Erstellung einer Implementierung von zlib in der Programmiersprache Rust

Die ISRG (Internet Security Research Group), die zu den Gründern des Projekts Let’s Encrypt gehört und die Entwicklung von Technologien zur Verbesserung der Internetsicherheit fördert, hat das Projekt zlib-rs zur Erstellung einer sicheren Alternative zur zlib-Datenkompressionsbibliothek vorgestellt. Der Code von zlib-rs ist in Rust geschrieben und wird unter der Zlib-Lizenz verbreitet. Die Entwicklung orientiert sich am zlib-ng-Projekt, das eine leistungsfähige Variante von zlib ausarbeitet. Im Rahmen des Projekts wurden zwei Bibliotheken entwickelt: zlib-rs mit einer API-Implementierung von zlib, die keine unsafe-Blöcke verwendet; libz-rs-sys — eine Schicht mit Unterstützung für die C-API, die Code im „unsafe“-Modus enthält.

Als Grund für die Erstellung von zlib-rs wird das Ziel genannt, eine Variante von zlib anzubieten, die potenzielle Sicherheitslücken aufgrund von Speicherfehlern beseitigt. Laut Angaben der Unternehmen Microsoft und Google entstehen etwa 70 % der Sicherheitsanfälligkeiten durch unsicheren Zugriff auf den Speicher. Es wird angenommen, dass die Verwendung der Programmiersprache Rust für die Entwicklung von zlib-rs das Risiko von Sicherheitsanfälligkeiten, die durch unsicheren Zugriff auf den Speicher verursacht werden, reduziert und derartige Fehler wie den Zugriff auf freigegebenen Speicher und Bufferüberläufe ausschließt.

Die Zlib-Bibliothek ist weit verbreitet und wird als Abhängigkeit in vielen Systemen verwendet, obwohl im Code von Zlib regelmäßig gefährliche Sicherheitsanfälligkeiten auftreten. So wurde beispielsweise im Jahr 2022 in zlib ein Bufferüberlauf festgestellt, der auftrat, wenn versucht wurde, eine speziell präparierte Zeichenfolge zu komprimieren, was die Ausnutzung einer Sicherheitsanfälligkeit durch das Übermitteln spezieller Eingabedaten ermöglichte.

Quelle: opennet.ru