Uma nova vulnerabilidade de alta gravidade na linguagem de programação Rust foi relatada. A falha pode ser explorada para limpar arquivos e diretórios de um sistema exposto sem a necessidade de autorização.
“O Rust Security Response WG foi notificado de que o std::fs::A função de biblioteca padrão remove_dir_all é vulnerável a uma condição de corrida que permite o seguinte link simbólico (CWE-363). Um invasor pode usar esse problema de segurança para enganar um programa privilegiado para excluir arquivos e diretórios que o invasor não poderia acessar ou excluir,” de acordo com a assessoria oficial.
A vulnerabilidade recebeu o identificador CVE-2022-21658.
Como o CVE-2022-21658 pode ser explorado?
A falha pode funcionar caso um invasor obtenha acesso não privilegiado a um sistema vulnerável para excluir um diretório do sistema chamado confidencial/, mas eles não tinham permissão para fazê-lo.
Se padrão::fs::remove_dir_all seguiu links simbólicos, eles podem encontrar um programa privilegiado que remove um diretório ao qual eles têm acesso (chamado de temperatura/), crie um link simbólico de temp/foo para sensitive/, e espere o programa privilegiado deletar foo/. O programa privilegiado seguiria o link simbólico de temp/foo para sensitive/ enquanto excluía recursivamente, resultando em sensível/sendo excluído, o consultor disse.
Observe que para evitar esses ataques, std::fs::remove_dir_all já tem proteção contra a exclusão recursiva de links simbólicos. Contudo, essa verificação foi implementada incorretamente na biblioteca padrão, resultando em um TOCTOU (Tempo de verificação Tempo de uso) condição de corrida.
Em vez de dizer ao sistema para não seguir links simbólicos, a biblioteca padrão primeiro verificou se a coisa que estava prestes a excluir era um link simbólico. De outra forma, ele continuaria a excluir recursivamente o diretório.
O caso descrito criou uma condição de corrida, onde um invasor pode criar um diretório e substituí-lo por um link simbólico entre a verificação e a exclusão real. Deve-se mencionar que a probabilidade de sucesso do ataque na primeira tentativa não é grande. Mas os experimentos dos pesquisadores revelaram que eles poderiam realizá-lo de forma confiável em alguns segundos.
Quais versões de ferrugem são afetadas?
CVE-2022-21658 afeta versões do Rust 1.0.0 através da ferrugem 1.58.0. O plano do fornecedor era lançar Rust 1.58.1 em janeiro 20, que incluiria mitigações para esta vulnerabilidade.
Deve-se notar que o macOS antes da versão 10.10 e REDOX não possuem APIs utilizáveis para mitigar adequadamente o ataque, e, portanto, ainda são vulneráveis, mesmo com uma cadeia de ferramentas corrigida.
É curioso mencionar que os autores de malware também usar Rust em sua programação maliciosa. Um novo player de ransomware como serviço foi detectado pela Recorded Future e MalwareHunterTeam em dois fóruns clandestinos. Conhecido como ALPVH e BlackCat, o grupo de ransomware é o primeiro a usar a linguagem Rust. Esta foi a terceira variedade de ransomware a ser codificada em Rust, com os outros dois sendo experimentais.
Milena Dimitrova
Um escritor inspirado e gerente de conteúdo que está com SensorsTechForum desde o início do projeto. Um profissional com 10+ anos de experiência na criação de conteúdo envolvente. Focada na privacidade do usuário e desenvolvimento de malware, ela acredita fortemente em um mundo onde a segurança cibernética desempenha um papel central. Se o senso comum não faz sentido, ela vai estar lá para tomar notas. Essas notas podem mais tarde se transformar em artigos! Siga Milena @Milenyim
Me siga: