{"id":105101,"date":"2022-09-15T09:36:58","date_gmt":"2022-09-15T07:36:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust"},"modified":"2022-09-15T09:36:58","modified_gmt":"2022-09-15T07:36:58","slug":"uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust","title":{"rendered":"Vuln\u00e9rabilit\u00e9s dans le gestionnaire de paquets Cargo utilis\u00e9 pour des projets en Rust","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Le gestionnaire de paquets Cargo, utilis\u00e9 pour la gestion des paquets et la compilation de projets en Rust, a r\u00e9v\u00e9l\u00e9 deux vuln\u00e9rabilit\u00e9s pouvant \u00eatre exploit\u00e9es lors du t\u00e9l\u00e9chargement de paquets sp\u00e9cialement con\u00e7us \u00e0 partir de d\u00e9p\u00f4ts tiers (il est affirm\u00e9 que les utilisateurs du d\u00e9p\u00f4t officiel crates.io ne sont pas concern\u00e9s par le probl\u00e8me). La premi\u00e8re vuln\u00e9rabilit\u00e9 (CVE-2022-36113) permet de remplacer les deux premiers octets de n'importe quel fichier, selon les droits d'acc\u00e8s actuels. La deuxi\u00e8me vuln\u00e9rabilit\u00e9 (CVE-2022-36114) peut \u00eatre utilis\u00e9e pour \u00e9puiser l'espace libre sur le disque. <\/p>\n
Les vuln\u00e9rabilit\u00e9s seront corrig\u00e9es dans la version Rust 1.64, pr\u00e9vue pour le 22 septembre. Elles ont \u00e9t\u00e9 class\u00e9es comme de faible gravit\u00e9, car un dommage similaire peut \u00eatre caus\u00e9 en utilisant des paquets non v\u00e9rifi\u00e9s provenant de d\u00e9p\u00f4ts tiers gr\u00e2ce \u00e0 la fonctionnalit\u00e9 standard permettant d'ex\u00e9cuter des gestionnaires fournis dans les scripts de construction ou les macros proc\u00e9durales. Cependant, les probl\u00e8mes mentionn\u00e9s ci-dessus se distinguent par le fait que leur exploitation se produit au stade de la divulgation du paquet apr\u00e8s son t\u00e9l\u00e9chargement (sans compilation). <\/p>\n
En particulier, apr\u00e8s le t\u00e9l\u00e9chargement, le paquet cargo d\u00e9compresse son contenu dans le r\u00e9pertoire ~\/.cargo et enregistre le succ\u00e8s de la d\u00e9compression dans le fichier .cargo-ok. Le c\u0153ur de la premi\u00e8re vuln\u00e9rabilit\u00e9 est que le cr\u00e9ateur du paquet peut placer un lien symbolique nomm\u00e9 .cargo-ok \u00e0 l'int\u00e9rieur, ce qui entra\u00eenera l'\u00e9criture du texte \u00ab ok \u00bb dans le fichier auquel pointe le lien. <\/p>\n
La deuxi\u00e8me vuln\u00e9rabilit\u00e9 est caus\u00e9e par l'absence de restriction sur la taille des donn\u00e9es extraites de l'archive, ce qui peut \u00eatre utilis\u00e9 pour cr\u00e9er des \u00ab bombes zip \u00bb (des donn\u00e9es peuvent \u00eatre incluses dans l'archive permettant d'atteindre le maximum de compression pour le format zip \u2014 environ 28 millions de fois, dans ce cas, par exemple, un fichier zip pr\u00e9par\u00e9 de 10 Mo pourrait conduire \u00e0 l'extraction d'environ 281 To de donn\u00e9es). \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"