CVE-2023-38497

ملخص

Cargo يقوم بتنزيل تبعيات مشروع Rust ويقوم بتجميع المشروع. Cargo قبل الإصدار 0.72.2، المرفق مع Rust قبل الإصدار 1.71.1، لم يكن يحترم umask عند استخراج أرشيفات الصناديق (crate archives) على الأنظمة الشبيهة بـ UNIX. إذا قام المستخدم بتنزيل صندوق (crate) يحتوي على ملفات قابلة للكتابة من قبل أي مستخدم محلي، يمكن لمستخدم محلي آخر استغلال ذلك لتغيير الكود المصدري الذي يتم تجميعه وتنفيذه بواسطة المستخدم الحالي. لمنع استغلال الاستخراجات المخزنة مؤقتًا الموجودة حاليًا، فإن ثنائي Cargo الإصدار 0.72.2 المضمن في Rust 1.71.1 أو أحدث سيقوم تلقائيًا بتطهير ذاكرات التخزين المؤقت التي تم إنشاؤها بواسطة إصدارات Cargo الأقدم. كحل بديل، قم بتكوين النظام لمنع المستخدمين المحليين الآخرين من الوصول إلى دليل Cargo، والذي يقع عادةً في `~/.cargo`.

• cargo-permاستغلال

  استغلال Cargo من CVE-2023-38497