रस्ट परियोजनाओं के लिए उपयोग किए जाने वाले कार्गो पैकेज मैनेजर में कमजोरियाँ

रस्ट भाषा में पैकेजों को प्रबंधित करने और प्रोजेक्ट बनाने के लिए उपयोग किए जाने वाले कार्गो पैकेज मैनेजर में, दो कमजोरियों की पहचान की गई है जिनका फायदा तीसरे पक्ष के रिपॉजिटरी से विशेष रूप से डिज़ाइन किए गए पैकेज डाउनलोड करते समय उठाया जा सकता है (यह कहा गया है कि आधिकारिक crates.io रिपॉजिटरी के उपयोगकर्ता समस्या से प्रभावित नहीं हैं)। पहली भेद्यता (सीवीई-2022-36113) किसी भी फ़ाइल के पहले दो बाइट्स को तब तक अधिलेखित करने की अनुमति देती है जब तक वर्तमान अनुमतियाँ अनुमति देती हैं। दूसरी भेद्यता (CVE-2022-36114) का उपयोग डिस्क स्थान को ख़त्म करने के लिए किया जा सकता है।

1.64 सितंबर को निर्धारित रस्ट 22 की रिलीज़ में कमजोरियाँ ठीक कर दी जाएंगी। कमजोरियों को गंभीरता का निम्न स्तर सौंपा गया है, क्योंकि तृतीय-पक्ष रिपॉजिटरी से असत्यापित पैकेजों का उपयोग करते समय समान नुकसान पैकेज में आपूर्ति की गई असेंबली स्क्रिप्ट या प्रक्रियात्मक मैक्रोज़ से कस्टम हैंडलर लॉन्च करने की मानक क्षमता का उपयोग करके हो सकता है। साथ ही, उपर्युक्त समस्याएं इस मायने में भिन्न हैं कि डाउनलोड करने के बाद (असेंबली के बिना) पैकेज खोलने के चरण में उनका शोषण किया जाता है।

विशेष रूप से, एक पैकेज डाउनलोड करने के बाद, कार्गो इसकी सामग्री को ~/.cargo निर्देशिका में अनपैक करता है और .cargo-ok फ़ाइल में सफल अनपैकिंग का संकेत संग्रहीत करता है। पहली भेद्यता का सार यह है कि पैकेज का निर्माता .cargo-ok नाम के साथ एक प्रतीकात्मक लिंक डाल सकता है, जिससे लिंक द्वारा इंगित फ़ाइल पर "ओके" टेक्स्ट लिखना शुरू हो जाएगा।

दूसरी भेद्यता संग्रह से निकाले गए डेटा के आकार पर एक सीमा की कमी के कारण होती है, जिसका उपयोग "ज़िप बम" बनाने के लिए किया जा सकता है (संग्रह में डेटा हो सकता है जो ज़िप प्रारूप के लिए अधिकतम संपीड़न अनुपात प्राप्त करने की अनुमति देता है - के बारे में) 28 मिलियन बार, इस मामले में, उदाहरण के लिए, एक विशेष रूप से तैयार 10 एमबी ज़िप फ़ाइल के परिणामस्वरूप लगभग 281 टीबी डेटा का विघटन होगा)।

स्रोत: opennet.ru