დაუცველობა Cargo-ის პაკეტის მენეჯერში, რომელიც გამოიყენება Rust-ის პროექტებისთვის

Cargo პაკეტის მენეჯერში, რომელიც გამოიყენება პაკეტების სამართავად და Rust ენაზე პროექტების შესაქმნელად, გამოვლინდა ორი დაუცველობა, რომელთა გამოყენება შესაძლებელია მესამე მხარის საცავებიდან სპეციალურად შემუშავებული პაკეტების ჩამოტვირთვისას (ნათქვამია, რომ ოფიციალური crates.io საცავების მომხმარებლები მათ პრობლემა არ ეხება). პირველი დაუცველობა (CVE-2022-36113) საშუალებას იძლევა, ნებისმიერი ფაილის პირველი ორი ბაიტი გადაიწეროს მანამ, სანამ ამჟამინდელი ნებართვები იძლევა. მეორე დაუცველობა (CVE-2022-36114) შეიძლება გამოყენებულ იქნას დისკზე სივრცის გამოსაწურავად.

დაუცველობა გამოსწორდება Rust 1.64-ის გამოშვებაში, რომელიც დაგეგმილია 22 სექტემბერს. მოწყვლადობას ენიჭება სიმძიმის დაბალი დონე, ვინაიდან მსგავსი ზიანი შეიძლება გამოიწვიოს მესამე მხარის საცავებიდან გადაუმოწმებელი პაკეტების გამოყენებისას, სტანდარტული უნარების გამოყენებით პერსონალური დამმუშავებლების გაშვების ასამბლეის სკრიპტებიდან ან პროცედურული მაკროებიდან, რომლებიც მოწოდებულია პაკეტში. ამავდროულად, ზემოაღნიშნული პრობლემები განსხვავდება იმით, რომ მათი ექსპლუატაცია ხდება პაკეტის ჩამოტვირთვის შემდეგ გახსნის ეტაპზე (აწყობის გარეშე).

კერძოდ, პაკეტის ჩამოტვირთვის შემდეგ, ტვირთი ხსნის მის შიგთავსს ~/.cargo დირექტორიაში და ინახავს წარმატებული გახსნის ნიშანს .cargo-ok ფაილში. პირველი დაუცველობის არსი ის არის, რომ პაკეტის შემქმნელს შეუძლია შიგნით მოათავსოს სიმბოლური ბმული სახელწოდებით .cargo-ok, რაც გამოიწვევს ტექსტის „ok“ ჩაწერას ბმულით მითითებულ ფაილზე.

მეორე დაუცველობა გამოწვეულია არქივიდან ამოღებული მონაცემების ზომის შეზღუდვის არარსებობით, რომელიც შეიძლება გამოყენებულ იქნას „zip bombs“-ის შესაქმნელად (არქივი შეიძლება შეიცავდეს მონაცემებს, რომლებიც საშუალებას გაძლევთ მიაღწიოთ მაქსიმალური შეკუმშვის კოეფიციენტს zip ფორმატში - დაახლოებით 28 მილიონჯერ, ამ შემთხვევაში, მაგალითად, სპეციალურად მომზადებული 10 მბ zip ფაილი გამოიწვევს დაახლოებით 281 ტბ მონაცემთა დეკომპრესიას).

წყარო: opennet.ru