Die Organisation ISRG (Internet Security Research Group), die das Let’s Encrypt-Projekt ins Leben gerufen hat und die Entwicklung von Technologien zur Verbesserung der Internetsicherheit vorantreibt, hat das Projekt zlib-rs vorgestellt, um ein sicheres Äquivalent der Kompressionsbibliothek zlib zu schaffen. Der Code von zlib-rs ist in Rust geschrieben und wird unter der Zlib-Lizenz veröffentlicht. Die Entwicklung orientiert sich an dem Projekt zlib-ng, das eine leistungsfähige Variante von zlib entwickelt. Das Projekt hat zwei Bibliotheken entwickelt: zlib-rs, das eine API-Implementierung von zlib bietet und keine unsafe-Blöcke verwendet; libz-rs-sys — eine Erweiterung mit Unterstützung für die C-API, die Code im „unsafe“-Modus enthält.
Als Grund für die Erstellung von zlib-rs wird das Ziel genannt, eine Variante von zlib bereitzustellen, die von potenziellen Problemen befreit ist, die durch Speicherfehler verursacht werden. Laut den Unternehmen Microsoft und Google werden etwa 70% der Sicherheitsanfälligkeiten durch unsichere Speicheroperationen verursacht. Es wird angenommen, dass der Einsatz der Programmiersprache Rust für die Entwicklung von zlib-rs das Risiko von Sicherheitsanfälligkeiten, die durch unsichere Speicheroperationen entstehen, verringern und Fehler wie den Zugriff auf freigegebenen Speicher und Pufferüberläufe vermeiden kann.
Die Zlib-Bibliothek ist weit verbreitet und wird als Abhängigkeit in vielen Systemen verwendet, obwohl im Code von Zlib gelegentlich gefährliche Schwachstellen auftreten. So wurde beispielsweise 2022 in Zlib eine Pufferüberlauf-Sicherheitsanfälligkeit entdeckt, die das Ausnutzen der Schwachstelle durch die Übermittlung speziell gestalteter Eingabedaten ermöglichte.
Quelle: opennet.ru
