Rust Framework actix-web-ի մշակողը ջնջել է պահոցը ահաբեկման պատճառով

Rust-ով գրված վեբ շրջանակի հեղինակ actix-web ջնջված է պահոց այն բանից հետո, երբ նրան քննադատեցին Ռաստ լեզուն «չարաշահելու» համար։ Actix-web Framework-ը, որի հետ փաթեթը ներբեռնվել է ավելի քան 800 հազար անգամ, թույլ է տալիս ներդնել http սերվերի և հաճախորդի գործառույթները Rust հավելվածներում և նախատեսված է առավելագույն կատարողականության և աշխատանքի հասնելու համար: առաջատարը շատ վեբ շրջանակային թեստերում:

Միջադեպից կարճ ժամանակ առաջ GitHub-ի հարցերում հաղորդվել է, որ Actix-web սերվերի կոդում հայտնաբերվել է Undefined Behavior, որը տեղի է ունեցել բլոկում, որն իրականացվել է վտանգավոր (թույլ է տալիս անապահով գործողություններ ցուցիչներով): Actix-web-ի հեղինակը չի հեռացրել անապահով բլոկը, այլ կրկին կատարել է զանգը դեպի այս բլոկը, որպեսզի չսահմանված վարքագիծ առաջանա: Հեղինակը մերժել է անապահով հեռացման առաջարկները՝ պատճառաբանելով կատարողականի հնարավոր կորուստը և նշելով, որ ինքը անհարկի չի օգտագործում անվտանգ և վստահ է այս ռեժիմում աշխատող բլոկների անվտանգության մեջ:

RustSec թիմի անդամը, ով բացահայտեց չսահմանված վարքագիծը, չհամաձայնեց և առաջարկեց, որ շատ անապահով բլոկների օգտագործումը actix-web-ում արդարացված չէ: Սրանից հետո նա հրապարակեց
статью ոչ անվտանգ օգտագործման անթույլատրելիության մասին, որում, ի թիվս այլ բաների, նշվել է, որ actix-web-ում օգտագործվող ցուցիչների հետ աշխատելու մեթոդը (միևնույն տվյալների վրա մի քանի փոփոխական ցուցիչներ) կարող է պոտենցիալ օգտագործման արդյունքում խոցելիություններ առաջացնել և չի համապատասխանում են Rust-ի զարգացման պարադիգմին:

Այն բանից հետո քննարկումներ մասին հոդվածներ Փակցնելուց, GitHub-ի համարներում վազեց տրոլլների և actix-web-ի հեղինակի ենթարկվել քննադատությունների տարափ և վիրավորանքներ՝ Rust-ի չարաշահման համար: Հեղինակը չի կարողացել դիմանալ հոգեբանական ճնշմանը, ջնջել է պահեստը и գրել է, որ ես թողեցի Open Source-ով։

Source: opennet.ru

Добавить комментарий