Kelemahan keselamatan kritikal dalam pustaka penghuraian tar Rust yang popular telah mendedahkan masalah lebih mendalam dalam ekosistem sumber terbuka. Kecacatan ini, yang dikesan sebagai CVE-2025-62518 dan digelar TARmageddon, membenarkan penyerang menyeludup fail tersembunyi ke dalam pengekstrakan arkib, berpotensi membawa kepada pelaksanaan kod jarak jauh. Apa yang menjadikan kes ini amat membimbangkan bukan sahaja kelemahan teknikal itu sendiri, tetapi rangkaian kompleks pustaka terbengkalai dan terpisah yang menyukarkan pemasangan tampungan.
Komuniti keselamatan kini bergelut dengan persoalan tentang keselamatan rantaian bekalan perisian, cabaran mengekalkan projek sumber terbuka, dan sama ada bahasa pengaturcaraan moden seperti Rust memberikan perlindungan mencukupi terhadap serangan berasaskan logik sebegini.
 |
|---|
| "Memahami Kelemahan Keselamatan dalam Sumber Terbuka: TARmageddon Menyerlahkan Risiko dalam Perisian Moden" |
Kelemahan Yang Seharusnya Tidak Berlaku
TARmageddon mengeksploitasi ketidakselarian penghuraian dalam cara pustaka tar async Rust mengendalikan arkib bersarang dengan maklumat pengepala yang bercanggah. Apabila fail tar mengandungi kedua-dua pengepala lanjutan PAX dan pengepala ustar tradisional yang tidak bersetuju tentang saiz fail, penghurai yang terjejas secara salah maju melalui strim arkib. Ini mewujudkan penyahselarasan yang membenarkan fail tersembunyi dari arkib bersarang diekstrak seolah-ia mereka adalah bahagian sah arkib utama.
Butiran teknikal melibatkan kekeliruan pengepala, tetapi impak praktikalnya adalah jelas: arkib yang kelihatan selamat semasa pengimbasan keselamatan boleh menyebarkan fail tidak dijangka semasa pengekstrakan. Ini memintas kawalan keselamatan dan membolehkan serangan rantaian bekalan di mana pakej berniat jahat menyamar sebagai perisian sah.
Bahagian yang menakutkan bukanlah pepijat tersebut — tetapi betapa rapuhnya proses pemasangan tampungan sekali sesuatu krate tidak lagi diselenggara.
Kelemahan ini menjejaskan pelbagai krate Rust popular termasuk tokio-tar, yang mempunyai lebih 5 juta muat turun di crates.io. Proses penemuan mendedahkan bahawa garpuan paling meluas digunakan pada asasnya adalah perisian terbengkalai - tidak lagi diselenggara secara aktif oleh pembangun asal.
Crate Rust yang Terjejas dan Status
tokio-tar: Fork paling popular (5 juta+ muat turun), terbengkalaiasync-tar: Perpustakaan asal, penyelenggara menyediakan tampungkrata-tokio-tar: Asalnya oleh Edera, kini diarkibkan, ditampalastral-tokio-tar: Diselenggara secara aktif oleh Astral, ditampal
Cabaran Sebenar: Memasang Tampungan Perisian Terbengkalai
Apa yang sepatutnya menjadi pendedahan keselamatan mudah bertukar menjadi mimpi ngeri penyelarasan kompleks. Daripada bekerja dengan penyelenggara tunggal, pasukan keselamatan Edera terpaksa mengemudi keturunan kusut pustaka terpisah. Mereka perlu membangunkan tampungan untuk versi hulu, mencari penyelenggara projek tidak diselenggara melalui kejuruteraan sosial dan penyiasatan, dan menyelaraskan pemasangan tampungan serentak merentasi pelbagai garpuan aktif di bawah embargo ketat 60 hari.
Situasi ini menyerlahkan kelemahan asas dalam ekosistem perisian moden. Apabila kebergantungan popular menjadi terbengkalai, kelemahan keselamatan menjadi lebih sukar untuk dibaiki. Pengguna hiliran mungkin tidak sedar langsung mereka bergantung pada kod tidak diselenggara sehingga kelemahan serius muncul.
Perbincangan komuniti menumpu pada mengapa Rust nampaknya terdedah kepada pakej terbengkalai. Sesetengah pengulas mencadangkan bahawa ekosistem pembungkusan Rust yang lancar memudahkan pembangun menerbitkan projek tetapi mencipta beban penyelenggaraan yang mungkin tidak mereka jangkakan. Yang lain menyatakan bahawa banyak pustaka Rust bermula sebagai projek pembelajaran atau port dari bahasa lain, dan penyelenggara mungkin beralih sekali kegembiraan awal pudar.
Garis Masa Pendedahan
- 2025-08-21: Pepijat ditemui dan pembiakan dicipta
- 2025-08-22: Tampung dibangunkan dan didedahkan kepada penyelenggara
- 2025-09-02: Pengakuan penyelenggara async-tar
- 2025-10-21: Pendedahan awam dan pelepasan tampung
Melampaui Keselamatan Memori: Batasan Keselamatan Rust
Kelemahan TARmageddon berfungsi sebagai peringatan penting bahawa jaminan keselamatan memori Rust tidak menghalang pepijat logik. Walaupun Rust berkesan menghapuskan keseluruhan kelas kelemahan kerosakan memori yang membelenggu kod C dan C++, ia tidak memberikan perlindungan khas terhadap kecacatan dalam logik program atau pengendalian data.
Seperti yang dinyatakan seorang pengulas, Ini adalah peringatan penting bahawa Rust bukanlah peluru ajaib. Walaupun jaminan Rust menjadikannya lebih sukar untuk memperkenalkan pepijat keselamatan memori, ia tidak menghapuskan pepijat logik. Ketidakselarian penghuraian di jantung TARmageddon pada asasnya adalah kecacatan logik yang boleh berlaku dalam mana-mana bahasa pengaturcaraan.
Insiden ini juga menimbulkan persoalan tentang strategi pengurusan kebergantungan merentasi ekosistem berbeza. Pengulas menyatakan bahawa distribusi Linux tradisional selalunya mengekalkan tampungan keselamatan untuk pakej walaupun penyelenggara hulu hilang, manakala pengurus pakej khusus bahasa seperti Cargo, pip, dan npm biasanya mengikuti pendekatan hantar apa yang mereka berikan kepada kami.
Senario Serangan Berpotensi
- Rampasan pakej Python melalui muat naik PyPI
- Pencemaran imej kontena dalam rangka kerja ujian
- Pintasan pengimbasan keselamatan untuk fail yang tidak diluluskan
- Kompromi sistem pembinaan dalam saluran paip CI/CD
Melihat Ke Hadapan: Penyelesaian untuk Ekosistem Lebih Sihat
Usaha pendedahan berkoordinasi, walaupun mencabar, menunjukkan bahawa keselamatan didorong komuniti boleh berfungsi walaupun dalam keadaan sukar. Pasukan Edera bekerjasama dengan pelbagai penyelenggara merentasi garpuan berbeza untuk memastikan tampungan tersedia sebelum pendedahan awam. Mereka juga secara proaktif menghubungi projek hiliran utama untuk menyediakan mereka untuk kemas kini diperlukan.
Bagi organisasi yang bergantung pada perisian sumber terbuka, insiden ini menekankan kepentingan mengaudit kebergantungan secara berkala untuk status penyelenggaraan. Pengurangan masa jalan seperti mengesahkan kiraan fail diekstrak berbanding manifes dijangkakan dan menggunakan kotak pasir pengekstrakan berasingan boleh memberikan pertahanan-berlapis walaupun apabila kebergantungan terjejas tidak dapat dikemas kini serta-merta.
Ekosistem Rust, seperti banyak persekitaran pengaturcaraan moden, menghadapi cabaran mengimbangi kemudahan dengan keselamatan. Penerbitan pakej mudah telah memacu pertumbuhan pesat Rust tetapi mungkin menyumbang kepada cabaran penyelenggaraan pada masa hadapan. Apabila komuniti matang, membangunkan alat lebih baik untuk mengenal pasti dan menangani kebergantungan terbengkalai akan menjadi penting untuk keselamatan jangka panjang.
Kisah TARmageddon bukan hanya tentang satu kelemahan - ia tentang cabaran struktur yang dihadapi oleh penyelenggaraan perisian sumber terbuka. Apabila kebergantungan berganda dan penyelenggara beralih, keseluruhan ekosistem perisian menjadi lebih rapuh. Menyelesaikan masalah ini akan memerlukan alat lebih baik, model pembiayaan lebih mampan, dan kesedaran lebih besar dalam kalangan pembangun tentang status penyelenggaraan kebergantungan mereka.
Rujukan: TARMAGEDDON (CVE-2025-62518): KELEMAHAN RCE MENYERLAHKAN CABARAN SUMBER TERBUKA TERBENGKALAI