Vulnerabilities in the Cargo package manager used for Rust projects

Pakettihalduri Cargo's, mida kasutatakse paketihaldamiseks ja Rusti projektide ehitamiseks, avastati kaks haavatavust, mida saab ära kasutada spetsiaalselt vormistatud pakettide allalaadimisel kolmandate osapoolte hoidlatest (väidetavalt ei mõjuta probleem ametliku crates.io hoidla kasutajaid). Esimene haavatavus (CVE-2022-36113) võimaldab kirjutada esimesed kaks baiti mis tahes failis, nii palju kui hetkel kehtivad õigused lubavad. Teine haavatavus (CVE-2022-36114) võib viia kettaruumi ammendamiseni.

Haavatavused parandatakse Rust 1.64 väljaandes, mis on kavandatud 22. septembriks. Haavatustele on omistatud madal riskitase, kuna sarnast kahju võib tekitada ka kontrollimata pakettide kasutamisega kolmandate osapoolte hoidlatest, kasutades tavapäraseid võimalusi oma töötlejate käivitamiseks tarnitavate paketis sisalduvate ehitusskriptide või protseduuriliste makrode kaudu. Samal ajal erinevad varem mainitud probleemid selle poolest, et nende ära kasutamine toimub paketi avamise etapis pärast allalaadimist (ilma ehitamiseta).

Konkreetsemalt, pärast paketi allalaadimist lahtipakkimise käigus paigutab cargo paketi sisu katalooge ~/.cargo ja salvestab lahtipakkimise eduka tulemuse faili .cargo-ok. Esimese haavatavuse olemus seisneb selles, et paketi looja võib paigutada sümboolse lingi nimega .cargo-ok, mis toob kaasa teksti 'ok' kirjutamise lingitud faili.

Teine haavatavus on põhjustatud puuduvast piirangust arhivist välja tõmmatavate andmete suurusele, mida saab kasutada 'zip-pommide' loomiseks (arhivides võivad olla andmed, mis võimaldavad saavutada zip-formaadi maksimaalset kokkusurumise astet — umbes 28 miljonit korda, sellisel juhul võib näiteks spetsiaalselt ettevalmistatud zip-fail suuruses 10 MB põhjustada umbes 281 TB andmete lahtipakendamist).

Allikas: opennet.ru