פגיעויות במנהל חבילות המטען המשמש לפרויקטים של Rust

שתי פגיעויות התגלו במנהל החבילות Cargo, המשמש לניהול חבילות ולבניית פרויקטים של Rust. ניתן לנצל פגיעויות אלו על ידי הורדת חבילות שנוצרו במיוחד ממאגרים של צד שלישי (משתמשי המאגר הרשמי של crates.io נאמר כי אינם מושפעים). הפגיעות הראשונה (CVE-2022-36113) מאפשרת להחליף את שני הבייטים הראשונים של כל קובץ, בכפוף להרשאות הנוכחיות. הפגיעות השנייה (CVE-2022-36114) ניתנת לניצול כדי למצות שטח דיסק.

הפגיעויות יתוקנו בשחרור של Rust 1.64, המתוכנן ל-22 בספטמבר. פגיעויות אלו מדורגות כבעלי חומרה נמוכה, מכיוון שנזק דומה יכול להיגרם על ידי שימוש בחבילות לא מאומתות ממאגרים של צד שלישי באמצעות היכולת המובנית להפעיל מטפלים מסקריפטי בנייה המסופקים על ידי החבילות או פקודות מאקרו פרוצדורליות. עם זאת, הבעיות הנ"ל נבדלות בכך שהן מנוצלות במהלך שלב הרחבת החבילה לאחר הטעינה (ללא בנייה).

באופן ספציפי, לאחר הורדת חבילה, cargo פורק את תוכנה לתוך ספריית ~/.cargo ושומר דגל פריקה מוצלח בקובץ .cargo-ok. נקודת התורפה הראשונה היא שיוצר החבילה יכול להציב קישור סמלי בשם .cargo-ok בתוך החבילה, מה שיגרום לכתיבת הטקסט "ok" לקובץ שאליו מצביע הקישור.

הפגיעות השנייה נגרמת מהיעדר מגבלת גודל על הנתונים המופקים מהארכיון, אשר ניתן להשתמש בה ליצירת "פצצות זיפ" (הארכיון יכול להכיל נתונים שיכולים להשיג את יחס הדחיסה המרבי עבור פורמט הזיפק - פי 28 מיליון בקירוב; במקרה זה, לדוגמה, קובץ זיפק שהוכן במיוחד בגודל 10 מגה-בייט יוביל לפריקה של כ-281 טרה-בייט של נתונים).

מקור: OpenNet.ru