Organizacija ISRG (Gruppa za istraživanje sigurnosti interneta), koja je osnivač projekta Let's Encrypt i doprinosi razvoju tehnologija za povećanje sigurnosti interneta, predstavila je projekt zlib-rs za stvaranje sigurnog ekvivalenta biblioteke za kompresiju podataka zlib. Kod zlib-rs napisan je na jeziku Rust i distribuira se pod Zlib licencom. Razvoj se odvija uzimajući u obzir projekt zlib-ng, koji razvija visoko performantan varijantu zlib. Projekt je razvio dvije biblioteke: zlib-rs s implementacijom API-ja zlib, koja ne koristi unsafe blokove; libz-rs-sys — nadogradnja koja podržava C API, s kodom u „unsafe“ režimu.
Kao razlog za stvaranje zlib-rs spominje se namjera da se pruži varijanta zlib, oslobođena potencijalnih sigurnosnih problema uzrokovanih greškama u upravljanju memorijom. Prema podacima kompanija Microsoft i Google, oko 70% ranjivosti uzrokovano je nesigurnim radom s memorijom. Pretpostavlja se da će korištenje jezika Rust za razvoj zlib-rs smanjiti rizik od pojave ranjivosti uzrokovanih nesigurnim radom s memorijom i isključiti pojavu takvih grešaka kao što su pristup memoriji nakon slobode i izlazak iz okvira bafera.
Biblioteka Zlib je široko rasprostranjena i koristi se kao zavisnost u mnogim sistemima, iako se u Zlib kodu s vremena na vrijeme otkrivaju opasne ranjivosti. Na primjer, 2022. godine u zlib-u je otkriveno prelivanje bafera prilikom pokušaja kompresije posebno pripremljene sekvence karaktera, koje je omogućilo eksploataciju ranjivosti putem slanja posebno oblikovanih ulaznih podataka.
Izvor: opennet.ru
