{"id":105101,"date":"2022-09-15T09:36:58","date_gmt":"2022-09-15T07:36:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust"},"modified":"2022-09-15T09:36:58","modified_gmt":"2022-09-15T07:36:58","slug":"uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/uyazvimosti-v-paketnom-menedzhere-cargo-primenyaemom-dlya-proektov-na-yazyke-rust","title":{"rendered":"Vulnerabilidades no gerenciador de pacotes Cargo, utilizado em projetos na linguagem Rust","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
No gerenciador de pacotes Cargo, utilizado para gerenciar pacotes e compilar projetos na linguagem Rust, foram identificadas duas vulnerabilidades que podem ser exploradas ao baixar pacotes especificamente formatados de reposit\u00f3rios de terceiros (afirma-se que os usu\u00e1rios do reposit\u00f3rio oficial crates.io n\u00e3o foram afetados pelo problema). A primeira vulnerabilidade (CVE-2022-36113) permite sobrescrever os primeiros dois bytes de qualquer arquivo, conforme permitido pelas permiss\u00f5es atuais. A segunda vulnerabilidade (CVE-2022-36114) pode ser utilizada para esgotar o espa\u00e7o dispon\u00edvel no disco. <\/p>\n
As vulnerabilidades ser\u00e3o corrigidas na vers\u00e3o Rust 1.64, programada para 22 de setembro. As vulnerabilidades foram classificadas como de baixo risco, pois um dano semelhante ao usar pacotes n\u00e3o verificados de reposit\u00f3rios de terceiros pode ser causado pela funcionalidade padr\u00e3o de executar seus pr\u00f3prios manipuladores de scripts de constru\u00e7\u00e3o ou macros de procedimentos inclu\u00eddos no pacote. No entanto, as quest\u00f5es mencionadas diferem porque sua explora\u00e7\u00e3o ocorre na fase de descompacta\u00e7\u00e3o do pacote ap\u00f3s o download (sem compila\u00e7\u00e3o). <\/p>\n
Em particular, ap\u00f3s o upload, o pacote cargo descompacta seu conte\u00fado no diret\u00f3rio ~\/.cargo e registra o sucesso da descompacta\u00e7\u00e3o no arquivo .cargo-ok. A ess\u00eancia da primeira vulnerabilidade \u00e9 que o criador do pacote pode inserir um link simb\u00f3lico chamado .cargo-ok, o que resultar\u00e1 na grava\u00e7\u00e3o do texto \u00abok\u00bb no arquivo para o qual o link aponta. <\/p>\n
A segunda vulnerabilidade \u00e9 causada pela falta de um limite no tamanho dos dados extra\u00eddos do arquivo, o que pode ser utilizado para criar \u00abbombas zip\u00bb (o arquivo pode conter dados que permitem alcan\u00e7ar a m\u00e1xima taxa de compress\u00e3o para o formato zip \u2014 cerca de 28 milh\u00f5es de vezes; nesse caso, por exemplo, um arquivo zip preparado especialmente com 10 MB resultar\u00e1 na descompacta\u00e7\u00e3o de cerca de 281 TB de dados). \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"