De organisatie ISRG (Internet Security Research Group), de oprichter van het Letās Encrypt-project en die de ontwikkeling van technologieĆ«n ter verbetering van de internetbeveiliging bevordert, heeft het zlib-rs-project gepresenteerd voor de creatie van een veilige variant van de zlib-compressiebibliotheek. De zlib-rs-code is geschreven in de programmeertaal Rust en wordt verspreid onder de Zlib-licentie. De ontwikkeling houdt rekening met het zlib-ng-project, dat een hoge prestaties biedende versie van zlib ontwikkelt. Het project heeft twee bibliotheken ontwikkeld: zlib-rs met een implementatie van de zlib API die geen unsafe-blokken gebruikt; libz-rs-sys ā een wrapper met ondersteuning voor de C API, die code in de modus āunsafeā bevat.
Als reden voor de creatie van zlib-rs wordt het doel vermeld om een versie van zlib te bieden die vrij is van potentiƫle kwetsbaarheden veroorzaakt door geheugenfouten. Volgens gegevens van Microsoft en Google is ongeveer 70% van de kwetsbaarheden het gevolg van onveilige geheugentoegang. Het gebruik van de programmeertaal Rust voor de ontwikkeling van zlib-rs zou het risico op kwetsbaarheden door onveilige geheugentoegang moeten verlagen en fouten zoals het aanspreken van het geheugen na vrijgave en buffer-overschrijdingen moeten uitsluiten.
De Zlib-bibliotheek is wijdverbreid en wordt als afhankelijkheid in veel systemen gebruikt, terwijl er af en toe gevaarlijke kwetsbaarheden in de Zlib-code opdoken. Bijvoorbeeld, in 2022 werd er een buffer-overschrijding ontdekt in zlib bij het proberen te compressen van een speciaal voorbereide tekenreeks, waardoor de kwetsbaarheid kon worden geƫxploiteerd door speciaal gevormde invoergegevens te verzenden.
Bron: opennet.ru
