Eine neue Schwachstelle mit hohem Schweregrad in der Programmiersprache Rust wurde gemeldet. Der Fehler könnte ausgenutzt werden, um Dateien und Verzeichnisse von einem exponierten System ohne die Notwendigkeit einer Autorisierung zu löschen.
„Die Rust Security Response WG wurde darüber informiert, dass der std::fs::Die Standardbibliotheksfunktion remove_dir_all ist anfällig für eine Racebedingung, die das Folgen von Symlinks ermöglicht (CWE-363). Ein Angreifer könnte dieses Sicherheitsproblem nutzen, um ein privilegiertes Programm dazu zu bringen, Dateien und Verzeichnisse zu löschen, auf die der Angreifer sonst nicht zugreifen oder die er löschen könnte,“, so die offizielle Empfehlung.
Der Schwachstelle wurde die Kennung CVE-2022-21658 zugewiesen.
Wie kann CVE-2022-21658 ausgenutzt werden??
Der Fehler könnte funktionieren, falls ein Angreifer unbefugten Zugriff auf ein anfälliges System erhalten könnte, um ein aufgerufenes Systemverzeichnis zu löschen empfidlich/, aber ihnen fehlten die Berechtigungen dazu.
Wenn Std::fs::remove_dir_all folgte symbolischen Links, Sie könnten ein privilegiertes Programm finden, das ein Verzeichnis entfernt, auf das sie Zugriff haben (genannt temp/), Erstellen Sie einen Symlink von temp/foo zu sensitive/, und warte darauf, dass das privilegierte Programm foo/ löscht. Das privilegierte Programm würde dem symbolischen Link von temp/foo zu sensitive/ folgen, während es rekursiv löscht, was dazu führt, dass vertraulich/gelöscht wird, die Beratungs sagte.
Beachten Sie dies, um diese Angriffe zu verhindern, std::fs::remove_dir_all hat bereits einen Schutz gegen das rekursive Löschen von Symlinks. Jedoch, diese Prüfung wurde in der Standardbibliothek falsch implementiert, was zu einem TOCTOU führt (Prüfzeit Nutzungszeit) race-Bedingung.
Anstatt dem System zu sagen, dass es Symlinks nicht folgen soll, Die Standardbibliothek überprüfte zuerst, ob das, was sie löschen wollte, ein Symlink war. Sonst, es würde fortfahren, das Verzeichnis rekursiv zu löschen.
Der beschriebene Fall hat eine Race Condition erzeugt, wo ein Angreifer ein Verzeichnis erstellen und es durch einen symbolischen Link zwischen der Prüfung und der eigentlichen Löschung ersetzen könnte. Es sollte erwähnt werden, dass die Erfolgswahrscheinlichkeit des Angriffs beim ersten Versuch nicht groß ist. Aber die Experimente der Forscher zeigten, dass sie es zuverlässig innerhalb weniger Sekunden durchführen konnten.
Welche Rust-Versionen sind betroffen??
CVE-2022-21658 betrifft Versionen von Rust 1.0.0 durch Rost 1.58.0. Der Plan des Anbieters war es, Rust freizugeben 1.58.1 im Januar 20, Dies würde Minderungen für diese Sicherheitsanfälligkeit beinhalten.
Es sollte beachtet werden, dass macOS vor der Version 10.10 und REDOX haben keine verwendbaren APIs, um den Angriff richtig abzuwehren, und sind somit auch mit einer gepatchten Toolchain noch angreifbar.
Es ist merkwürdig zu erwähnen, dass auch Malware-Autoren verwenden Rust in ihrer bösartigen Programmierung. Ein neuer Ransomware-as-a-Service-Player wurde von Recorded Future und MalwareHunterTeam in zwei Untergrundforen entdeckt. Bekannt als ALPVH und BlackCat, Die Ransomware-Gruppe ist die erste, die die Rust-Sprache verwendet. Dies war der dritte Ransomware-Stamm, der in Rust kodiert wurde, wobei die anderen beiden experimentell sind.
Milena Dimitrova
Ein begeisterter Autor und Content Manager, der seit Projektbeginn bei SensorsTechForum ist. Ein Profi mit 10+ jahrelange Erfahrung in der Erstellung ansprechender Inhalte. Konzentriert sich auf die Privatsphäre der Nutzer und Malware-Entwicklung, sie die feste Überzeugung, in einer Welt, in der Cybersicherheit eine zentrale Rolle spielt. Wenn der gesunde Menschenverstand macht keinen Sinn, sie wird es sich Notizen zu machen. Diese Noten drehen können später in Artikel! Folgen Sie Milena @Milenyim
Folge mir: