{"id":105101,"date":"2022-09-15T09:36:58","date_gmt":"2022-09-15T07:36:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust"},"modified":"2022-09-15T09:36:58","modified_gmt":"2022-09-15T07:36:58","slug":"uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust","title":{"rendered":"Luki w mened\u017cerze pakiet\u00f3w Cargo, stosowanym w projektach w j\u0119zyku Rust","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
W mened\u017cerze pakiet\u00f3w Cargo, stosowanym do zarz\u0105dzania pakietami i budowy projekt\u00f3w w j\u0119zyku Rust, odkryto dwie podatno\u015bci, kt\u00f3re mog\u0105 by\u0107 wykorzystywane podczas pobierania specjalnie przygotowanych pakiet\u00f3w z zewn\u0119trznych repozytori\u00f3w (twierdzi si\u0119, \u017ce u\u017cytkownicy oficjalnego repozytorium crates.io nie zostali dotkni\u0119ci problemem). Pierwsza podatno\u015b\u0107 (CVE-2022-36113) pozwala na nadpisanie pierwszych dw\u00f3ch bajt\u00f3w w dowolnym pliku, w zale\u017cno\u015bci od bie\u017c\u0105cych uprawnie\u0144. Druga podatno\u015b\u0107 (CVE-2022-36114) mo\u017ce by\u0107 wykorzystana do wyczerpania dost\u0119pnej przestrzeni na dysku. <\/p>\n
Podatno\u015bci zostan\u0105 usuni\u0119te w wersji Rust 1.64, planowanej na 22 wrze\u015bnia. Podatno\u015bci przypisano niski poziom zagro\u017cenia, poniewa\u017c podobne szkody mog\u0105 by\u0107 spowodowane przy u\u017cyciu niezweryfikowanych pakiet\u00f3w z zewn\u0119trznych repozytori\u00f3w za pomoc\u0105 standardowej funkcji uruchamiania w\u0142asnych handler\u00f3w z dostarczanych w pakiecie skrypt\u00f3w budowlanych lub makr proceduralnych. Warto zauwa\u017cy\u0107, \u017ce wy\u017cej wymienione problemy r\u00f3\u017cni\u0105 si\u0119 tym, \u017ce ich wykorzystanie odbywa si\u0119 na etapie odkrycia pakietu po pobraniu (bez budowy). <\/p>\n
W szczeg\u00f3lno\u015bci, po za\u0142adowaniu paczki, cargo rozpakowuje jej zawarto\u015b\u0107 do katalogu ~\/.cargo i zapisuje informacj\u0119 o pomy\u015blnym rozpakowaniu w pliku .cargo-ok. Istota pierwszej luki polega na tym, \u017ce tw\u00f3rca paczki mo\u017ce umie\u015bci\u0107 wewn\u0105trz symboliczne \u0142\u0105cze o nazwie .cargo-ok, co spowoduje zapisanie tekstu \u00abok\u00bb w pliku, na kt\u00f3ry wskazuje to \u0142\u0105cze. <\/p>\n
Druga luka wynika z braku ograniczenia rozmiaru danych wyodr\u0119bnianych z archiwum, co mo\u017ce by\u0107 wykorzystywane do tworzenia \u00abzip-bomb\u00bb (w archiwum mog\u0105 by\u0107 umieszczone dane, kt\u00f3re pozwalaj\u0105 na osi\u0105gni\u0119cie maksymalnej dla formatu zip stopnia kompresji \u2014 oko\u0142o 28 milion\u00f3w razy, w tym przypadku, na przyk\u0142ad, specjalnie przygotowany plik zip o rozmiarze 10 MB spowoduje wyodr\u0119bnienie oko\u0142o 281 TB danych). \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"