Vulnérabilités dans le gestionnaire de paquets Cargo utilisé pour des projets en Rust

Le gestionnaire de paquets Cargo, utilisé pour la gestion des paquets et la compilation de projets en Rust, a révélé deux vulnérabilités pouvant être exploitées lors du téléchargement de paquets spécialement conçus à partir de dépôts tiers (il est affirmé que les utilisateurs du dépôt officiel crates.io ne sont pas concernés par le problème). La première vulnérabilité (CVE-2022-36113) permet de remplacer les deux premiers octets de n'importe quel fichier, selon les droits d'accès actuels. La deuxième vulnérabilité (CVE-2022-36114) peut être utilisée pour épuiser l'espace libre sur le disque.

Les vulnérabilités seront corrigées dans la version Rust 1.64, prévue pour le 22 septembre. Elles ont été classées comme de faible gravité, car un dommage similaire peut être causé en utilisant des paquets non vérifiés provenant de dépôts tiers grâce à la fonctionnalité standard permettant d'exécuter des gestionnaires fournis dans les scripts de construction ou les macros procédurales. Cependant, les problèmes mentionnés ci-dessus se distinguent par le fait que leur exploitation se produit au stade de la divulgation du paquet après son téléchargement (sans compilation).

En particulier, après le téléchargement d'un paquet, Cargo extrait son contenu dans le répertoire ~/.cargo et enregistre l'indication de succès de l'extraction dans le fichier .cargo-ok. La nature de la première vulnérabilité est que le créateur du paquet peut placer un lien symbolique nommé .cargo-ok, ce qui entraînera l'écriture du texte « ok » dans le fichier pointé par le lien.

La deuxième vulnérabilité est due à l'absence de restriction sur la taille des données extraites de l'archive, ce qui peut être exploité pour créer des « bombes zip » (les données contenues dans l'archive peuvent permettre d'atteindre un taux de compression maximal pour le format zip — environ 28 millions de fois, dans ce cas, par exemple, un fichier zip soigneusement préparé de 10 Mo entraînera le déballage d'environ 281 To de données).

Source : opennet.ru