CVE-2023-38497

概要

Cargo は Rust プロジェクトの依存関係をダウンロードし、プロジェクトをコンパイルします。バージョン 0.72.2 より前の Cargo（Rust 1.71.1 より前のバージョンに同梱）は、UNIX 系システムでクレートアーカイブを展開する際に umask を尊重していませんでした。ユーザーがローカルの任意ユーザーによって書き込み可能なファイルを含むクレートをダウンロードした場合、別のローカルユーザーがこれを悪用して、現在のユーザーがコンパイルおよび実行するソースコードを変更できる可能性がありました。既存のキャッシュされた展開が悪用可能になるのを防ぐため、Rust 1.71.1 以降に含まれる Cargo バイナリバージョン 0.72.2 は、古いバージョンの Cargo によって生成されたキャッシュを自動的に削除します。回避策として、通常 `~/.cargo` にある Cargo ディレクトリに他のローカルユーザーがアクセスできないようにシステムを設定してください。

• cargo-permエクスプロイト

  CVE-2023-38497 の Cargo エクスプロイト