{"id":105101,"date":"2022-09-15T09:36:58","date_gmt":"2022-09-15T07:36:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust"},"modified":"2022-09-15T09:36:58","modified_gmt":"2022-09-15T07:36:58","slug":"uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust","title":{"rendered":"Vulnerabilit\u00e0 nel gestore di pacchetti Cargo, utilizzato per progetti in linguaggio Rust","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nel gestore di pacchetti Cargo, utilizzato per la gestione dei pacchetti e la compilazione di progetti in linguaggio Rust, sono state scoperte due vulnerabilit\u00e0 che possono essere sfruttate caricando pacchetti specificamente creati da repository esterni (si sostiene che gli utenti del repository ufficiale crates.io non siano stati colpiti dal problema). La prima vulnerabilit\u00e0 (CVE-2022-36113) consente di sovrascrivere i primi due byte di qualsiasi file, a seconda dei permessi di accesso attuali. La seconda vulnerabilit\u00e0 (CVE-2022-36114) pu\u00f2 essere utilizzata per esaurire lo spazio disponibile su disco. <\/p>\n
Le vulnerabilit\u00e0 saranno corrette nella versione Rust 1.64, prevista per il 22 settembre. \u00c8 stato attribuito un basso livello di gravit\u00e0 a queste vulnerabilit\u00e0, poich\u00e9 un danno simile derivante dall'uso di pacchetti non verificati da repository esterni pu\u00f2 essere causato mediante la funzione integrata che consente di eseguire i propri gestori da script di build o macro procedurali forniti nel pacchetto. Tuttavia, i problemi sopra menzionati si differenziano per il fatto che il loro sfruttamento avviene nella fase di apertura del pacchetto dopo il download (senza compilazione). <\/p>\n
In particolare, dopo il caricamento, il pacchetto cargo estrae il suo contenuto nella directory ~\/ .cargo e salva il segnale di estrazione riuscita nel file .cargo-ok. La prima vulnerabilit\u00e0 consiste nel fatto che il creatore del pacchetto pu\u00f2 posizionare all'interno un link simbolico chiamato .cargo-ok, il che porter\u00e0 alla scrittura del testo \u00abok\u00bb nel file a cui punta il link. <\/p>\n
La seconda vulnerabilit\u00e0 \u00e8 causata dall'assenza di limitazioni sulla dimensione dei dati estratti dall'archivio, il che pu\u00f2 essere sfruttato per creare \u00abzip-bomb\u00bb (nell'archivio possono essere contenuti dati che permettono di raggiungere il massimo grado di compressione per il formato zip \u2014 circa 28 milioni di volte; in questo caso, ad esempio, un file zip preparato appositamente della dimensione di 10 MB porter\u00e0 all'estrazione di circa 281 TB di dati). \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"