Rust 编程语言曝高危漏洞，可导致文件和目录遭删除

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

Rust 编程语言的维护人员发布安全更新，修复了一个高危漏洞 (CVE-2022-21658)。该漏洞可导致恶意人员越权从易受攻击系统删除文件和目录。

Rust 安全响应工作组（WG）在2021年1月20日发布安全公告指出，“攻击者可利用该漏洞诱骗权限程序删除文件和目录。”

受影响版本

Rust 1.0.0 至 Rust 1.58.0 均受该漏洞影响。CVE-2022-21658 的CVSS评分为7.3，由安全研究员 Hans Kratz 发现。上周发布的 Rust 版本1.58.1已修复该漏洞。

该漏洞源自执行不当的检查阻止对标准库函数 "std::fs::remove_dir_all" 字符链接 (symlinks)的递归删除，从而导致竞争条件。攻击者可滥用对权限程序的访问权限删除敏感目录。

Rust 安全公告指出，“该标准库并未告知系统不要跟踪符号链接，而是首先检查将要删除的是否为符号链接，如不是，则递归删除该目录，这就导致条件竞争：攻击者可创建一个目录并以检查和实际删除之间的符号链接取而代之。”

Rust 虽然并非应用广泛的编程语言，但在近年来因其内存相关的安全保障，使用人数也在激增。去年，谷歌宣布其开源的安卓操作系统版本将提供对 Rust 的支持，以阻止内存安全漏洞的发生。

---

推荐阅读

因严重缺陷，Rust 撤销所有 Crates 包的 API 令牌

PyPI 管理员删除已潜伏10个月且下载量超1万次的恶意包

微软：这两个活动目录漏洞可使攻击者轻易接管 Windows 域名

“木马源”攻击影响多数编程语言的编译器，将在软件供应链攻击中发挥巨大作用

导致软件产生漏洞的九大编程语言

原文链接

https://thehackernews.com/2022/01/critical-bugs-in-control-web-panel.html

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~