{"id":105101,"date":"2022-09-15T09:36:58","date_gmt":"2022-09-15T07:36:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust"},"modified":"2022-09-15T09:36:58","modified_gmt":"2022-09-15T07:36:58","slug":"uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust","title":{"rendered":"Vulnerabilidades en el gestor de paquetes Cargo, utilizado para proyectos en el lenguaje Rust","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
En el gestor de paquetes Cargo, utilizado para la gesti\u00f3n de paquetes y la compilaci\u00f3n de proyectos en el lenguaje Rust, se han detectado dos vulnerabilidades que pueden ser explotadas al descargar paquetes especialmente dise\u00f1ados de repositorios externos (se afirma que los usuarios del repositorio oficial crates.io no se vieron afectados). La primera vulnerabilidad (CVE-2022-36113) permite sobrescribir los primeros dos bytes de cualquier archivo, en la medida en que lo permitan los permisos actuales. La segunda vulnerabilidad (CVE-2022-36114) puede ser utilizada para agotar el espacio libre en disco. <\/p>\n
Las vulnerabilidades ser\u00e1n corregidas en la versi\u00f3n de Rust 1.64, programada para el 22 de septiembre. Se ha asignado un nivel de peligro bajo a las vulnerabilidades, ya que un da\u00f1o similar al utilizar paquetes no verificados de repositorios externos puede ser causado mediante la funcionalidad est\u00e1ndar de ejecutar sus propios controladores desde los scripts de construcci\u00f3n o macros procedimentales entregados con el paquete. Sin embargo, los problemas mencionados anteriormente se diferencian en que su explotaci\u00f3n ocurre en la etapa de descompresi\u00f3n del paquete despu\u00e9s de la descarga (sin compilaci\u00f3n). <\/p>\n
En particular, despu\u00e9s de que el paquete cargado descomprime su contenido en el directorio ~\/.cargo y guarda la marca de descompresi\u00f3n exitosa en el archivo .cargo-ok. La esencia de la primera vulnerabilidad es que el creador del paquete puede incluir un enlace simb\u00f3lico llamado .cargo-ok, lo que provocar\u00e1 que se escriba el texto \u00abok\u00bb en el archivo al que apunta el enlace. <\/p>\n
La segunda vulnerabilidad se debe a la falta de un l\u00edmite en el tama\u00f1o de los datos extra\u00eddos del archivo, lo que puede ser utilizado para crear \u00abbombas zip\u00bb (en el archivo se pueden incluir datos que permiten alcanzar el grado m\u00e1ximo de compresi\u00f3n para el formato zip\u2014cerca de 28 millones de veces; en este caso, por ejemplo, un archivo zip especialmente preparado de 10 MB resultar\u00e1 en la descompresi\u00f3n de aproximadamente 281 TB de datos). \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"