p PatchFirst

CVE-2023-38497

CVE-2023-38497 · Cargo not respecting umask when extracting crate archives

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Cargo downloads the Rust project’s dependencies and compiles the project. Cargo prior to version 0.72.2, bundled with Rust prior to version 1.71.1, did not respect the umask when extracting crate archives on UNIX-like systems. If the user downloaded a crate containing files writeable by any local user, another local user could exploit this to change the source code compiled and executed by the current user. To prevent existing cached extractions from being exploitable, the Cargo binary version 0.72.2 included in Rust 1.71.1 or later will purge caches generated by older Cargo versions automatically. As a workaround, configure one's system to prevent other local users from accessing the Cargo directory, usually located in `~/.cargo`.

CVSS 7.8 · Élevée · EPSS 0,7% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system

Produits et versions concernés

  • cargo

    Versions du logiciel
    • < 0.72.2: Concernée

    Aucun correctif publié

  • cargo Debian:12

    Versions du logiciel
    • 0.66.0+ds1-1
    • 0.66.0+ds2-1
    • 0.66.0+ds2-2
    • 0.70.1+ds1-1
    • 0.70.1+ds1-1~exp1
    • 0.70.1+ds1-2
    • 0.70.1+ds1-3
    • 0.70.1-1~exp1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • rust-cargo Debian:12

    Versions du logiciel
    • 0.66.0-1
    • 0.66.0-2
    • 0.66.0-3
    • 0.66.0-4
    • 0.66.0-5
    • 0.66.0-6
    • 0.70.1-1
    • 0.70.1-2
    • 0.70.1-3
    • 0.76.0-1
    • 0.76.0-2
    • 0.76.0-3
    • 0.76.0-4
    • 0.81.0-1
    • 0.81.0-2
    • 0.81.0-3
    • 0.82.0-1
    • 0.83.0-1
    • 0.83.0-2
    • 0.84.0-1
    • 0.85.0-1
    • 0.86.0-1
    • 0.86.0-2
    • 0.86.0-3
    • 0.86.0-4
    • 0.91.0-1
    • 0.91.0-2
    • 0.91.0-3
    • 0.91.0-4
    • 0.91.0-5
    • 0.96.0-1
    • 0.96.0-2
    • 0.99.0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • rust-cargo Debian:13

    Plages de versions concernées
    • ECOSYSTEM: < 0.76.0-1

    Mettez à jour vers 0.76.0-1

  • rust-cargo Debian:14

    Plages de versions concernées
    • ECOSYSTEM: < 0.76.0-1

    Mettez à jour vers 0.76.0-1

  • cargo Ubuntu:Pro:16.04:LTS

    Versions du logiciel
    • 0.8.0-1
    • 0.16.0-0ubuntu1~16.04.1
    • 0.18.0-0ubuntu0.16.04.1
    • 0.22.0-0ubuntu0.16.04.1
    • 0.23.0-0ubuntu0.16.04.1
    • 0.25.0-1ubuntu1~16.04.1
    • 0.26.0-0ubuntu2~16.04.1
    • 0.29.0-1ubuntu1~16.04.1
    • 0.31.0-3ubuntu1~16.04.1
    • 0.32.0-1~exp1ubuntu1~16.04.1
    • 0.33.0-1ubuntu1~16.04.1
    • 0.35.0-0ubuntu1~16.04.1
    • 0.36.0-0ubuntu1~16.04.1
    • 0.37.0-3ubuntu1~16.04.1
    • 0.38.0-0ubuntu1~16.04.1
    • 0.40.0-3ubuntu1~16.04.1
    • 0.42.0-0ubuntu1~16.04.1
    • 0.44.1-0ubuntu1~16.04.1
    • 0.47.0-1~exp1ubuntu1~16.04.1
    Plages de versions concernées
    • ECOSYSTEM: < 0.47.0-1~exp1ubuntu1~16.04.1+esm1

    Mettez à jour vers 0.47.0-1~exp1ubuntu1~16.04.1+esm1

  • cargo Ubuntu:Pro:18.04:LTS

    Versions du logiciel
    • 0.19.0-0ubuntu1
    • 0.22.0-0ubuntu1
    • 0.22.0-0ubuntu2
    • 0.23.0-0ubuntu1
    • 0.24.0-1ubuntu1
    • 0.25.0-1ubuntu1
    • 0.26.0-0ubuntu1
    • 0.26.0-0ubuntu2
    • 0.29.0-1ubuntu1~18.04.1
    • 0.31.0-3ubuntu1~18.04.4
    • 0.32.0-1~exp1ubuntu1~18.04.1
    • 0.33.0-1ubuntu1~18.04.1
    • 0.35.0-0ubuntu1~18.04.1
    • 0.36.0-0ubuntu1~18.04.1
    • 0.37.0-3ubuntu1~18.04.1
    • 0.38.0-0ubuntu1~18.04.1
    • 0.40.0-3ubuntu1~18.04.1
    • 0.42.0-0ubuntu1~18.04.1
    • 0.44.1-0ubuntu1~18.04.1
    • 0.47.0-1~exp1ubuntu1~18.04.1
    • 0.52.0-0ubuntu1~18.04.1
    • 0.54.0-0ubuntu1~18.04.1
    • 0.58.0-0ubuntu1~18.04.1
    • 0.60.0ubuntu1-0ubuntu1~18.04.1
    • 0.62.0ubuntu0libgit2-0ubuntu0.18.04.1
    • 0.66.0+ds0ubuntu0.libgit2-0ubuntu0.18.04
    Plages de versions concernées
    • ECOSYSTEM: < 0.66.0+ds0ubuntu0.libgit2-0ubuntu0.18.04.1~esm1

    Mettez à jour vers 0.66.0+ds0ubuntu0.libgit2-0ubuntu0.18.04.1~esm1

  • cargo Ubuntu:Pro:20.04:LTS

    Versions du logiciel
    • 0.37.0-3ubuntu2
    • 0.38.0-0ubuntu1
    • 0.39.0-0ubuntu1
    • 0.39.0+really0.38.0-0ubuntu1
    • 0.39.0+really0.39.0-0ubuntu1
    • 0.40.0-3ubuntu1
    • 0.40.0-3ubuntu2
    • 0.41.0-0ubuntu1
    • 0.42.0-0ubuntu1
    • 0.44.1-0ubuntu1~20.04.1
    • 0.47.0-1~exp1ubuntu1~20.04.1
    • 0.52.0-0ubuntu1~20.04.1
    • 0.54.0-0ubuntu1~20.04.1
    • 0.58.0-0ubuntu1~20.04.1
    • 0.60.0ubuntu1-0ubuntu1~20.04.1
    • 0.62.0ubuntu0libgit2-0ubuntu0.20.04.1
    • 0.66.0+ds0ubuntu0.libgit2-0ubuntu0.20.04
    • 0.67.1+ds0ubuntu0.libgit2-0ubuntu0.20.04.2
    Plages de versions concernées
    • ECOSYSTEM: < 0.67.1+ds0ubuntu0.libgit2-0ubuntu0.20.04.2+esm1

    Mettez à jour vers 0.67.1+ds0ubuntu0.libgit2-0ubuntu0.20.04.2+esm1

  • cargo Ubuntu:Pro:22.04:LTS

    Versions du logiciel
    • 0.52.0-0ubuntu1
    • 0.53.0-0ubuntu2
    • 0.54.0-0ubuntu1
    • 0.54.0-0ubuntu2
    • 0.57.0+ubuntu-0ubuntu1
    • 0.58.0-0ubuntu1
    • 0.60.0ubuntu1-0ubuntu1~22.04.1
    • 0.62.0ubuntu0libgit2-0ubuntu0.22.04.1
    • 0.66.0+ds0ubuntu0.libgit2-0ubuntu0.22.04
    • 0.67.1+ds0ubuntu0.libgit2-0ubuntu0.22.04.2
    Plages de versions concernées
    • ECOSYSTEM: < 0.67.1+ds0ubuntu0.libgit2-0ubuntu0.22.04.2+esm1

    Mettez à jour vers 0.67.1+ds0ubuntu0.libgit2-0ubuntu0.22.04.2+esm1

  • rust-cargo Ubuntu:Pro:22.04:LTS

    Versions du logiciel
    • 0.43.1-4
    • 0.57.0-1
    Plages de versions concernées
    • ECOSYSTEM: < 0.57.0-1ubuntu0.1~esm1

    Mettez à jour vers 0.57.0-1ubuntu0.1~esm1

  • rust-cargo Ubuntu:24.04:LTS

    Versions du logiciel
    • 0.66.0-5
    • 0.66.0-6
    • 0.70.1-1
    • 0.70.1-2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • rustc Ubuntu:24.04:LTS

    Plages de versions concernées
    • ECOSYSTEM: < 1.71.1+dfsg0ubuntu2-0ubuntu1

    Mettez à jour vers 1.71.1+dfsg0ubuntu2-0ubuntu1

Sources originales

Vérifiez votre serveur →