PT-2020-17642 · Rust · Model Crate

Publicado 2020-11-10 · Atualizado 2021-08-25 · CVE-2020-36460

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

model crate até 10/11/2020

Descrição

Foi detectada uma falha na estrutura de dados Shared, que implementa as características Send e Sync sem levar em conta o tipo interno. Isso permite que código Rust seguro provoque uma corrida de dados, o que constitui um comportamento indefinido no Rust. Recomenda-se que os usuários tratem Shared como um tipo inseguro.

Recomendações

Para o crate model até 10/11/2020, recomenda-se que os usuários tratem Shared como um tipo inseguro e não o utilizem fora do contexto de testes. É necessário ter cuidado para garantir que o código de teste não apresente uma corrida de dados, além de uma condição de corrida que se espera que seja detectada pelo teste.

Exploit

Correção

Type Confusion

Race Condition

Enumeração de Fraquezas

CWE-843

CWE-362

Identificadores relacionados

CVE-2020-36460

GHSA-MXV6-Q98X-H958

RUSTSEC-2020-0140

Produtos afetados

Model Crate

Referências · 11

• 🔥 https://rustsec.org/advisories/RUSTSEC-2020-0140.html · Exploit
• https://github.com/spacejam/model/issues/3 · Nota
• https://github.com/spacejam/model · Nota
• https://raw.githubusercontent.com/rustsec/advisory-db/main/crates/model/RUSTSEC-2020-0140.md · Nota
• https://osv.dev/vulnerability/RUSTSEC-2020-0140 · Aviso do Fabricante
• https://t.me/cvenotify/19479 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-36460 · Nota de Segurança
• https://crates.io/crates/model · Nota
• https://osv.dev/vulnerability/GHSA-mxv6-q98x-h958 · Aviso do Fabricante
• https://t.me/cibsecurity/26991 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-36460 · Aviso do Fabricante