{"id":105101,"date":"2022-09-15T09:36:58","date_gmt":"2022-09-15T07:36:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust"},"modified":"2022-09-15T09:36:58","modified_gmt":"2022-09-15T07:36:58","slug":"uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust","title":{"rendered":"Sicherheitsanf\u00e4lligkeiten im Paketmanager Cargo, der f\u00fcr Projekte in der Programmiersprache Rust verwendet wird","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Im Paketmanager Cargo, der f\u00fcr das Management von Paketen und den Bau von Projekten in Rust genutzt wird, wurden zwei Sicherheitsanf\u00e4lligkeiten entdeckt, die beim Herunterladen von speziell gestalteten Paketen aus fremden Repositories ausgenutzt werden k\u00f6nnen (es wird behauptet, dass die Nutzer des offiziellen Repositories crates.io von dem Problem nicht betroffen sind). Die erste Sicherheitsanf\u00e4lligkeit (CVE-2022-36113) erm\u00f6glicht es, die ersten zwei Bytes in einer beliebigen Datei zu \u00fcberschreiben, soweit dies die aktuellen Zugriffsrechte zulassen. Die zweite Sicherheitsanf\u00e4lligkeit (CVE-2022-36114) kann genutzt werden, um den verf\u00fcgbaren Speicherplatz auf der Festplatte zu ersch\u00f6pfen. <\/p>\n
Die Sicherheitsanf\u00e4lligkeiten werden in der Rust-Version 1.64 behoben, die f\u00fcr den 22. September geplant ist. Den Anf\u00e4lligkeiten wurde ein niedriges Gefahrenpotenzial zugeordnet, da \u00e4hnlicher Schaden bei der Nutzung nicht gepr\u00fcfter Pakete aus fremden Repositories durch die regul\u00e4re M\u00f6glichkeit, eigene Handler aus den mit dem Paket gelieferten Build-Skripten oder prozeduralen Makros auszuf\u00fchren, verursacht werden kann. Dabei unterscheiden sich die oben genannten Probleme dadurch, dass ihre Ausnutzung in der Phase der Paketer\u00f6ffnung nach dem Herunterladen erfolgt (ohne Bau). <\/p>\n
Insbesondere entpackt das Paket cargo nach dem Herunterladen seinen Inhalt in das Verzeichnis ~\/ .cargo und speichert das Erfolgszeichen des Entpackens in der Datei .cargo-ok. Das Wesen der ersten Schwachstelle besteht darin, dass der Paketdesigner innerhalb eine symbolische Verkn\u00fcpfung mit dem Namen .cargo-ok platzieren kann, was dazu f\u00fchren wird, dass der Text \u201eok\u201c in die Datei geschrieben wird, auf die der Link verweist. <\/p>\n
Die zweite Schwachstelle wird durch das Fehlen einer Begrenzung der Gr\u00f6\u00dfe der aus dem Archiv extrahierten Daten verursacht, was dazu verwendet werden kann, \u201eZip-Bomben\u201c zu erstellen (im Archiv k\u00f6nnen Daten untergebracht werden, die eine maximale Komprimierungsrate f\u00fcr das ZIP-Format erreichen \u2014 etwa 28 Millionen Mal; in diesem Fall w\u00fcrde beispielsweise eine speziell vorbereitete ZIP-Datei mit einer Gr\u00f6\u00dfe von 10 MB zu etwa 281 TB an entpackten Daten f\u00fchren). \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"