Organizacija ISRG (Internet Security Research Group), ki je ustanovitelj projekta Let's Encrypt in spodbuja razvoj tehnologij za povečanje varnosti interneta, je predstavila projekt zlib-rs, katerega cilj je ustvariti zaščiteno različico knjižnice za stiskanje podatkov zlib. Koda zlib-rs je napisana v jeziku Rust in se distribuira pod licenco Zlib. Razvoj poteka ob upoštevanju projekta zlib-ng, ki razvija visoko zmogljivo različico zlib. Projekt obsega dve knjižnici: zlib-rs z implementacijo API zlib, ki ne uporablja tveganih blokov; libz-rs-sys — nadgradnja s podporo za C API, ki vsebuje kodo v načinu „tvegano“.
Kot razlog za ustvarjanje zlib-rs se omenjajo namen, da se zagotovi različica zlib, ki je brez potencialnih napak, ki jih povzročajo napake pri upravljanju s pomnilnikom. Po podatkih podjetij Microsoft in Google približno 70 % ranljivosti izhaja iz nevarnega upravljanja s pomnilnikom. Predvideva se, da bo uporaba jezika Rust pri razvoju zlib-rs zmanjšala tveganje za pojav ranljivosti, ki jih povzroča nevarno upravljanje s pomnilnikom, in odpravila nastanek napak, kot so dostopi do pomnilnika po njegovi osvoboditvi in prekoračitev meja medpomnilnika.
Knjižnica Zlib je široko uporabljena in se uporablja kot odvisnost v mnogih sistemih, ob tem pa se v kodi Zlib občasno pojavijo nevarne ranljivosti. Na primer, leta 2022 je bilo v zlib odkrito prelivanje medpomnilnika pri poskusu stiskanja posebej oblikovane zaporedne tiskovine, ki je omogočilo izkoriščanje ranljivosti z oddajo posebej oblikovanih vhodnih podatkov.
Izvor: opennet.ru
