रस्ट परियोजनाहरूको लागि प्रयोग गरिएको कार्गो प्याकेज प्रबन्धकमा कमजोरीहरू

कार्गो प्याकेज प्रबन्धकमा, प्याकेजहरू व्यवस्थापन गर्न र रस्ट भाषामा परियोजनाहरू निर्माण गर्न प्रयोग गरिन्छ, दुई कमजोरीहरू पहिचान गरिएको छ जुन तेस्रो-पक्ष भण्डारहरूबाट विशेष रूपमा डिजाइन गरिएका प्याकेजहरू डाउनलोड गर्दा शोषण गर्न सकिन्छ (यो भनिएको छ कि आधिकारिक crates.io भण्डारका प्रयोगकर्ताहरू। समस्याबाट प्रभावित छैनन्)। पहिलो जोखिम (CVE-2022-36113) ले कुनै पनि फाइलको पहिलो दुई बाइटहरूलाई हालको अनुमतिले अनुमति दिएसम्म अधिलेखन गर्न अनुमति दिन्छ। दोस्रो भेद्यता (CVE-2022-36114) डिस्क स्पेस निकास गर्न प्रयोग गर्न सकिन्छ।

सेप्टेम्बर 1.64 मा निर्धारित रस्ट 22 को रिलीजमा कमजोरीहरू तय गरिनेछ। कमजोरीहरूलाई निम्न स्तरको गम्भीरता तोकिएको छ, किनकि समान हानि तेस्रो-पक्ष भण्डारहरूबाट अप्रमाणित प्याकेजहरू प्रयोग गर्दा एसेम्बली स्क्रिप्टहरू वा प्याकेजमा आपूर्ति गरिएका प्रक्रियात्मक म्याक्रोहरूबाट अनुकूलन ह्यान्डलरहरू सुरु गर्ने मानक क्षमता प्रयोग गर्दा हुन सक्छ। एकै समयमा, माथि उल्लिखित समस्याहरू फरक छन् कि तिनीहरू डाउनलोड गरेपछि प्याकेज खोल्ने चरणमा शोषण गरिन्छ (विना सभा)।

विशेष गरी, प्याकेज डाउनलोड गरेपछि, कार्गोले आफ्नो सामग्रीहरू ~/.cargo डाइरेक्टरीमा अनप्याक गर्छ र .cargo-ok फाइलमा सफल अनप्याकिङको संकेत भण्डार गर्दछ। पहिलो कमजोरीको सार यो हो कि प्याकेज सिर्जनाकर्ताले भित्र .cargo-ok नामको साथ प्रतीकात्मक लिङ्क राख्न सक्छ, जसले लिङ्कद्वारा देखाइएको फाइलमा "ठीक" पाठ लेख्न नेतृत्व गर्नेछ।

दोस्रो कमजोरी अभिलेखबाट निकालिएको डाटाको आकारमा सीमाको कमीको कारणले गर्दा हुन्छ, जुन "zip बम" सिर्जना गर्न प्रयोग गर्न सकिन्छ (अभिलेखमा डाटा समावेश हुन सक्छ जसले zip ढाँचाको लागि अधिकतम कम्प्रेसन अनुपात प्राप्त गर्न अनुमति दिन्छ - लगभग 28 मिलियन पटक, यस अवस्थामा, उदाहरणका लागि, विशेष रूपमा तयार गरिएको 10 MB zip फाइलले लगभग 281 TB डाटाको डिकम्प्रेसनमा परिणाम दिन्छ)।

स्रोत: opennet.ru