Podatności Cargo

Cargo nieprawidłowo obsługuje dowiązania symboliczne w archiwach crate'ów pobranych z rejestrów stron trzecich, co pozwala złośliwemu crate'owi nadpisać kod źródłowy innego crate'a z tego samego rejestru. Luka ma średnią dotkliwość dla użytkowników rejestrów stron trzecich; użytkownicy crates.io nie są zagrożeni, ponieważ crates.io zabrania przesyłania crate'ów zawierających dowiązania symboliczne.

Cargo między wersjami 1.68 a 1.96 nieprawidłowo normalizował adresy URL rejestrów stron trzecich używających protokołu indeksu rozproszonego. Jeśli dostawca hostingu umożliwiał hostowanie wielu rejestrów z dowolnymi nazwami w tej samej domenie, atakujący mógł uzyskać poświadczenia innych użytkowników tego samego rejestru. Podatność ma niski priorytet ze względu na bardzo specyficzne wymagania.

Cargo w wersjach od 1.60.0 do 1.72 nie uciekał nazw funkcji Cargo w raportach generowanych przez `cargo build --timings`, co mogło prowadzić do wstrzykiwania złośliwego HTML. Złośliwy pakiet jako zależność mógł wprowadzić kod JavaScript, co stwarzało ryzyko ataków typu cross-site scripting.

Cargo przed wersją 0.72.2, dostarczany z Rust przed wersją 1.71.1, nie respektował umask przy ekstrakcji archiwów crate na systemach podobnych do UNIX. To mogło pozwolić innym lokalnym użytkownikom na modyfikację kodu źródłowego kompilowanego i wykonywanego przez aktualnego użytkownika.