Projekt rustis zlib rakenduse loomiseks

ISRG (Internet Security Research Group), kes on Let's Encrypt projekti asutaja ja toetab interneti kaitsetehnoloogiate arendamist, tutvustas zlib-rs projekti, mille eesmärk on luua zlib andmete kokkusurumise teegi kaitstud analoog. zlib-rs kood on kirjutatud Rust keeles ja levitatakse Zlib litsentsi alusel. Arendus toimub pilku pidades zlib-ng projekti, mis arendab zlib kõrge jõudlusega varianti. Projekti raames on välja töötatud kaks teeki: zlib-rs, mis rakendab zlib API-d, ilma et kasutataks unsafe-blokke; libz-rs-sys — kõrgem tasand, mis toetab C API-d ja sisaldab koodi

zlib-rs-i loomise põhjuseks on soov pakkuda zlibi varianti, mis on vaba potentsiaalsetest probleemidest, mis tulenevad mäluhalduse vigadest. Microsofti ja Google'i andmetel põhjustavad umbes 70% haavatavustest ebaohutu mäluhaldus. Eeldatakse, et Rusti kasutamine zlib-rs-i arendamisel vähendab mäluhalduse vigadest tingitud haavatavuste tekke riski ja välistab selliste vigade tekkimise nagu mälu vabastamise järel sellele ligipääs või puhverpiiridest väljumine.

Zlibi teek on laialdaselt levinud ja seda kasutatakse sõltuvusena paljudes süsteemides, hoolimata asjaolust, et Zlibi koodis kerkivad perioodiliselt esile ohtlikud haavatavused. Näiteks tuvastati 2022. aastal zlibis puhverületus, kui prooviti kokku suruda spetsiaalselt ettevalmistatud sümbolite jada, mis lubas haavatavust ekspluateerida, edastades spetsiaalselt kujundatud sisendandmeid.

Allikas: opennet.ru