PT-2022-23201 · Rust+2 · Cargo+2

Ori Hollander

·

Publicado

2022-09-14

·

Atualizado

2024-07-05

·

CVE-2022-36113

CVSS v3.1

4.6

Média

VetorAV:N/AC:H/PR:L/UI:R/S:U/C:L/I:L/A:L
Nome do software vulnerável e versões afetadas
Versões do Cargo anteriores à 1.64
Descrição
O problema decorre do fato de o Cargo permitir que os pacotes contenham um link simbólico .cargo-ok. Quando o Cargo tenta gravar “ok” no .cargo-ok, ele substitui os dois primeiros bytes do arquivo para o qual o link simbólico aponta por “ok”, o que pode corromper um arquivo na máquina. Essa vulnerabilidade permite que um invasor cause um subconjunto de danos possíveis de uma forma mais difícil de rastrear. Por padrão, o Cargo permite a execução de código durante a compilação devido a scripts de compilação e macros procedurais, tornando essencial que os usuários confiem que suas dependências estejam protegidas contra ataques.
Recomendações
Para versões do Cargo anteriores à 1.64, atualize para o Rust 1.64 ou posterior para resolver o problema. Alternativamente, para o Rust 1.63.0, aplique os arquivos de patch disponíveis no repositório wg-security-response. Usuários de registros alternativos devem ter cuidado ao escolher pacotes, incluindo apenas dependências confiáveis em seus projetos. Como medida de mitigação temporária, considere restringir o uso de scripts de compilação e macros procedurais até que o problema seja resolvido.

Exploit

Correção

RCE

Path traversal

Link Following

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2022-36113
GHSA-RFJ2-Q3H3-HM5J
OESA-2024-1811
OESA-2024-1812
OPENSUSE-SU-2022_3451-1
OPENSUSE-SU-2024:12343-1
OPENSUSE-SU-2024:12344-1
SUSE-SU-2022:3451-1
SUSE-SU-2022_3451-1

Produtos afetados

Cargo
Debian
Suse