{"id":105101,"date":"2022-09-15T09:36:58","date_gmt":"2022-09-15T07:36:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust"},"modified":"2022-09-15T09:36:58","modified_gmt":"2022-09-15T07:36:58","slug":"uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust","title":{"rendered":"Kwetsbaarheden in de package manager Cargo, gebruikt voor projecten in de programmeertaal Rust","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In de pakketbeheerder Cargo, die wordt gebruikt voor het beheren van pakketten en het bouwen van projecten in de programmeertaal Rust, zijn twee kwetsbaarheden ontdekt die kunnen worden misbruikt bij het downloaden van speciaal geconfigureerde pakketten uit externe repositories (er wordt gesteld dat gebruikers van de offici\u00eble repository crates.io niet door het probleem worden getroffen). De eerste kwetsbaarheid (CVE-2022-36113) maakt het mogelijk om de eerste twee bytes in elk bestand te overschrijven, afhankelijk van de huidige toegangsrechten. De tweede kwetsbaarheid (CVE-2022-36114) kan worden gebruikt om de beschikbare schijfruimte uit te putten. <\/p>\n
De kwetsbaarheden zullen worden verholpen in de release van Rust 1.64, gepland voor 22 september. De kwetsbaarheden hebben een laag niveau van gevaar, aangezien vergelijkbare schade kan worden veroorzaakt door het gebruik van niet-gecontroleerde pakketten uit externe repositories via de standaardfunctionaliteit om eigen handlers uit de meegeleverde build-scripts of procedurele macro's uit te voeren. Deze bovengenoemde problemen onderscheiden zich doordat hun exploitatie plaatsvindt in de fase van het onthullen van het pakket na het downloaden (zonder bouwen). <\/p>\n
Specifiek, na het uploaden van het pakket pakt cargo de inhoud uit naar de map ~\/.cargo en slaat het teken van een succesvolle uitpakbeurt op in het bestand .cargo-ok. De essentie van de eerste kwetsbaarheid is dat de maker van het pakket een symbolische link met de naam .cargo-ok kan plaatsen, wat leidt tot het schrijven van de tekst \"ok\" in het bestand waar de link naar verwijst. <\/p>\n
De tweede kwetsbaarheid wordt veroorzaakt door het ontbreken van een beperking op de grootte van de gegevens die uit het archief worden gehaald, wat kan worden gebruikt om \"zip-bommen\" te cre\u00ebren (in het archief kunnen gegevens worden geplaatst die leiden tot de maximale compressiegraad voor het zip-formaat \u2014 ongeveer 28 miljoen keer, in dit geval zal bijvoorbeeld een speciaal voorbereide zip-bestand van 10 MB resulteren in het uitpakken van ongeveer 281 TB aan gegevens). \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"