{"id":105101,"date":"2022-09-15T09:36:58","date_gmt":"2022-09-15T07:36:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust"},"modified":"2022-09-15T09:36:58","modified_gmt":"2022-09-15T07:36:58","slug":"uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust","title":{"rendered":"Schwachstellen im Paketmanager Cargo, der f\u00fcr Projekte in der Programmiersprache Rust verwendet wird","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Im Paketmanager Cargo, der f\u00fcr die Verwaltung von Paketen und den Aufbau von Projekten in der Programmiersprache Rust verwendet wird, wurden zwei Sicherheitsanf\u00e4lligkeiten entdeckt, die ausgebeutet werden k\u00f6nnen, wenn speziell gestaltete Pakete aus externen Repositories heruntergeladen werden (es wird behauptet, dass Nutzer des offiziellen Repositories crates.io von dem Problem nicht betroffen sind). Die erste Sicherheitsanf\u00e4lligkeit (CVE-2022-36113) erlaubt es, die ersten zwei Bytes in einer beliebigen Datei zu \u00fcberschreiben, je nach den aktuellen Zugriffsrechten. Die zweite Sicherheitsanf\u00e4lligkeit (CVE-2022-36114) k\u00f6nnte genutzt werden, um den verf\u00fcgbaren Speicherplatz auf der Festplatte zu ersch\u00f6pfen. <\/p>\n
Die Sicherheitsanf\u00e4lligkeiten werden in der f\u00fcr den 22. September geplanten Version Rust 1.64 behoben. Den Anf\u00e4lligkeiten wurde ein niedriges Gef\u00e4hrdungspotenzial zugewiesen, da ein \u00e4hnlicher Schaden durch die Verwendung nicht verifizierter Pakete aus externen Repositories auch durch die regul\u00e4re M\u00f6glichkeit verursacht werden kann, eigene Handler aus in den Paketen gelieferten Build-Skripten oder prozeduralen Makros auszuf\u00fchren. Dabei unterscheiden sich die oben genannten Probleme insofern, als dass ihre Ausnutzung in der Phase der Paketentdeckung nach dem Download (ohne Build) erfolgt. <\/p>\n
Insbesondere entpackt das Cargo-Paket nach dem Herunterladen seinen Inhalt in das Verzeichnis ~\/.cargo und speichert den Hinweis auf das erfolgreiche Entpacken in die Datei .cargo-ok. Die erste Schwachstelle besteht darin, dass der Paket-Ersteller eine symbolische Verkn\u00fcpfung mit dem Namen .cargo-ok hinterlegen kann, was dazu f\u00fchrt, dass der Text \u201eok\u201c in die Datei geschrieben wird, auf die die Verkn\u00fcpfung verweist. <\/p>\n
Die zweite Schwachstelle resultiert aus dem Fehlen einer Begrenzung der Gr\u00f6\u00dfe der aus dem Archiv extrahierten Daten, was ausgenutzt werden kann, um \u201eZip-Bomben\u201c zu erzeugen (im Archiv k\u00f6nnen Daten platziert werden, die eine maximale Komprimierungsrate des Zip-Formats erreichen \u2014 etwa 28 Millionen Mal. In diesem Fall w\u00fcrde beispielsweise eine speziell vorbereitete Zip-Datei mit einer Gr\u00f6\u00dfe von 10 MB bei der Entpackung etwa 281 TB Daten erzeugen). \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"