פגיעויות במנהל חבילות המטען המשמש לפרויקטים של Rust

במנהל החבילות Cargo, המשמש לניהול חבילות ובניית פרויקטים בשפת Rust, זוהו שתי נקודות תורפה שניתן לנצל בעת הורדת חבילות מעוצבות במיוחד ממאגרי צד שלישי (נאמר שמשתמשים במאגר ה-crates.io הרשמי אינם מושפעים מהבעיה). הפגיעות הראשונה (CVE-2022-36113) מאפשרת להחליף את שני הבייטים הראשונים של כל קובץ כל עוד ההרשאות הנוכחיות מאפשרות. ניתן להשתמש בפגיעות השנייה (CVE-2022-36114) כדי למצות את שטח הדיסק.

הפגיעויות יתוקנו במהדורת Rust 1.64, המתוכננת ל-22 בספטמבר. הפגיעויות מוקצות ברמת חומרה נמוכה, שכן נזק דומה עלול להיגרם בעת שימוש בחבילות לא מאומתות ממאגרי צד שלישי תוך שימוש ביכולת הסטנדרטית להפעיל מטפלים מותאמים אישית מסקריפטי assembly או פקודות מאקרו פרוצדורליות שסופקו בחבילה. יחד עם זאת, הבעיות הנ"ל שונות בכך שהן מנוצלות בשלב פתיחת החבילה לאחר ההורדה (ללא הרכבה).

בפרט, לאחר הורדת חבילה, מטען פורק את תוכנו לספריית ~/.cargo ומאחסן סימן של פריקה מוצלחת בקובץ .cargo-ok. המהות של הפגיעות הראשונה היא שיוצר החבילה יכול למקם קישור סמלי בפנים עם השם .cargo-ok, מה שיוביל לכתיבת הטקסט "בסדר" לקובץ שאליו מצביע הקישור.

הפגיעות השנייה נגרמת מהיעדר מגבלה על גודל הנתונים המופקים מהארכיון, אשר ניתן להשתמש בהם ליצירת "פצצות zip" (הארכיון יכול להכיל נתונים המאפשרים השגת יחס הדחיסה המקסימלי עבור פורמט ה-zip - בערך 28 מיליון פעמים, במקרה זה, למשל, קובץ zip שהוכן במיוחד בנפח 10 מגה-בייט יגרום לפירוק של כ-281 TB של נתונים).

מקור: OpenNet.ru