La organización ISRG (Internet Security Research Group), que es fundadora del proyecto Let’s Encrypt y promueve el desarrollo de tecnologías para mejorar la seguridad en internet, ha presentado el proyecto zlib-rs para crear una alternativa segura a la biblioteca de compresión de datos zlib. El código de zlib-rs está escrito en Rust y se distribuye bajo la licencia Zlib. El desarrollo se lleva a cabo considerando el proyecto zlib-ng, que desarrolla una variante de zlib de alto rendimiento. Se han desarrollado dos bibliotecas: zlib-rs, que implementa la API de zlib sin usar bloques unsafe; y libz-rs-sys, una capa superior que soporta la API de C, incluyendo código en modo 'unsafe'.
La razón para crear zlib-rs es la intención de proporcionar una variante de zlib libre de posibles vulnerabilidades causadas por errores al trabajar con la memoria. Según las compañías Microsoft y Google, alrededor del 70% de las vulnerabilidades son causadas por un manejo inseguro de la memoria. Se supone que usar Rust para desarrollar zlib-rs reducirá el riesgo de vulnerabilidades relacionadas con un manejo inseguro de la memoria y evitará errores como acceder a áreas de memoria después de su liberación y desbordamientos de búfer.
La biblioteca Zlib es ampliamente utilizada y se emplea como dependencia en muchos sistemas, a pesar de que el código de Zlib presenta periódicamente vulnerabilidades peligrosas. Por ejemplo, en 2022 se descubrió un desbordamiento de búfer en zlib al intentar comprimir una secuencia de caracteres especialmente preparada, lo que permitía explotar la vulnerabilidad al pasar datos de entrada específicamente diseñados.
Fuente: opennet.ru
