{"id":105101,"date":"2022-09-15T09:36:58","date_gmt":"2022-09-15T07:36:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust"},"modified":"2022-09-15T09:36:58","modified_gmt":"2022-09-15T07:36:58","slug":"uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust","title":{"rendered":"Vulnerabilit\u00e0 nel gestore di pacchetti Cargo, utilizzato per progetti in linguaggio Rust","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nel gestore di pacchetti Cargo, utilizzato per la gestione dei pacchetti e la compilazione di progetti in linguaggio Rust, sono state identificate due vulnerabilit\u00e0 che possono essere sfruttate durante il download di pacchetti appositamente creati da repository di terze parti (si afferma che gli utenti del repository ufficiale crates.io non siano stati colpiti dal problema). La prima vulnerabilit\u00e0 (CVE-2022-36113) consente di sovrascrivere i primi due byte di qualsiasi file, a seconda dei diritti di accesso attuali. La seconda vulnerabilit\u00e0 (CVE-2022-36114) pu\u00f2 essere utilizzata per esaurire lo spazio libero sul disco. <\/p>\n
Le vulnerabilit\u00e0 saranno risolte con il rilascio di Rust 1.64, previsto per il 22 settembre. Queste vulnerabilit\u00e0 sono classificate a basso rischio, poich\u00e9 un danno simile pu\u00f2 essere causato dall'uso di pacchetti non verificati da repository di terze parti, attivando le funzioni standard per eseguire i propri gestori tramite script di build o macro procedurali fornite nel pacchetto. Le problematiche menzionate si differenziano in quanto la loro sfruttabilit\u00e0 avviene in fase di estrazione del pacchetto dopo il download (senza compilazione). <\/p>\n
In particolare, dopo il caricamento, il pacchetto cargo estrae il suo contenuto nella directory ~\/.cargo e salva l'indicatore di successo dell'estrazione nel file .cargo-ok. Il problema principale di questa vulnerabilit\u00e0 \u00e8 che il creatore del pacchetto pu\u00f2 inserire un collegamento simbolico chiamato .cargo-ok, il che porter\u00e0 alla scrittura del testo \u00abok\u00bb nel file a cui punta il collegamento. <\/p>\n
La seconda vulnerabilit\u00e0 \u00e8 causata dalla mancanza di un limite sulla dimensione dei dati estratti dall'archivio, che pu\u00f2 essere sfruttata per creare \u00abzip-bomb\u00bb (nell'archivio possono essere inseriti dati che raggiungono il massimo rapporto di compressione consentito dal formato zip \u2014 circa 28 milioni di volte; in questo caso, ad esempio, un file zip preparato appositamente di 10 MB porter\u00e0 a un'estrazione di circa 281 TB di dati). \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"