Anns a’ mhanaidsear pacaid Cargo, a thathas a’ cleachdadh airson pacaidean a riaghladh agus pròiseactan a thogail anns a’ chànan Rust, chaidh dà chugallachd a chomharrachadh a dh’ fhaodar a chleachdadh nuair a bhios tu a’ luchdachadh sìos pasganan a chaidh an dealbhadh gu sònraichte bho stòran treas-phàrtaidh (thathas ag ràdh gu bheil luchd-cleachdaidh an làrach oifigeil crates.io nach eil buaidh aig an duilgheadas). Tha a’ chiad so-leòntachd (CVE-2022-36113) a’ ceadachadh a’ chiad dà byte de fhaidhle sam bith a bhith air ath-sgrìobhadh cho fada ‘s a cheadaicheas na ceadan gnàthach. Faodar an dàrna so-leòntachd (CVE-2022-36114) a chleachdadh gus àite diosc a chuir a-mach.
Bidh na so-leòntachd stèidhichte ann an sgaoileadh Rust 1.64, clàraichte airson 22 Sultain. Tha ìre ìosal de dhragh air a thoirt do na so-leòntachd, oir faodar an aon chron adhbhrachadh nuair a bhios tu a’ cleachdadh phasganan neo-dhearbhte bho stòran treas-phàrtaidh a’ cleachdadh a’ chomais àbhaisteach gus luchd-làimhseachaidh àbhaisteach a chuir air bhog bho sgriobtaichean cruinneachaidh no macros modh-obrach a chaidh a thoirt seachad sa phacaid. Aig an aon àm, tha na duilgheadasan gu h-àrd eadar-dhealaichte leis gu bheilear gan cleachdadh aig ìre fosgladh a ’phacaid às deidh an luchdachadh sìos (gun cho-chruinneachadh).
Gu sònraichte, às deidh dhaibh pasgan a luchdachadh sìos, bidh cargo a’ dì-phapadh na tha ann dhan eòlaire ~/.cargo agus a’ stòradh soidhne de dhì-phapadh soirbheachail san fhaidhle .cargo-ok. Is e brìgh a’ chiad so-leòntachd gum faod neach-cruthachaidh a’ phacaid ceangal samhlachail a chuir a-staigh leis an ainm .cargo-ok, a lean gu bhith a’ sgrìobhadh an teacsa “ceart gu leòr” chun fhaidhle air a bheil an ceangal a’ comharrachadh.
Tha an dàrna so-leòntachd air adhbhrachadh le dìth crìche air meud an dàta a chaidh a thoirt a-mach às an tasglann, a dh’ fhaodar a chleachdadh gus “zip bombs” a chruthachadh (faodaidh dàta a bhith anns an tasglann a leigeas leis a’ cho-mheas teannachaidh as àirde a choileanadh airson an cruth zip - mu dheidhinn 28 millean uair, sa chùis seo, mar eisimpleir, bidh faidhle zip 10 MB a chaidh ullachadh gu sònraichte a’ leantainn gu dì-dhùmhlachadh timcheall air 281 TB de dhàta).
Source: fosgailtenet.ru