raster crate crop()整数下溢导致DoS漏洞分析

Security Report: Integer Underflow in raster::editor::crop() Leads to Denial of Service #30 漏洞概述 crate 中的 函数使用未检查的整数减法来计算裁剪输出图像的尺寸，基于调用者提供的偏移值。当 或 超过源图像的实际宽度/高度时，减法会下溢为负数 。该值直接传递给 ，在转换为 用于 时产生巨大的分配请求，导致立即且可复现的 panic（容量溢出），从而崩溃应用程序。 任何暴露裁剪坐标给用户或不受信任输入的应用程序（例如头像裁剪器、缩略图生成器、图像编辑 API）都会受到影响。不需要认证或特殊条件——单个格式错误的请求就足以使进程崩溃。 影响范围 包: (crates.io) 仓库: https://github.com/kosinix/raster 受影响版本: 所有已发布版本（验证针对 0.2.1，在编写时最新；漏洞逻辑自初始实现以来未更改，项目在过去 9 年中没有提交——参见维护者确认 issue #24：“这个仓库的状态是什么？它被放弃了吗？”） 下载量: 112,622 所有时间 / -5,184 近期 (crates.io)，表明尽管项目不活跃，但现实世界使用量仍然很大。 CWE 分类 CWE-191: 整数下溢（包装或回绕） CWE-1284: 输入中指定数量的不当验证 CWE-400: 不受控的资源消耗（导致 DoS） 严重性评估 建议的 CVSS 3.1 向量： — 基础分数：7.5（高） 理由： 攻击向量: 网络 — 通过任何暴露裁剪参数的网络面向 API 可达（图像库的典型用例）。 攻击复杂度: 低 — 单个超出范围的整数就足够了。 所需权限: 无。用户交互：无。 可用性: 高 — panic 崩溃调用进程/线程，库本身没有恢复路径。 机密性/完整性: 不受影响 — 这是一个安全的 Rust panic（边界检查，无内存损坏），非内存不安全。 技术细节 根本原因位置 为什么会发生下溢 被限制为最多 （通过 ），但 从未针对 进行限制——仅针对 （ ）。如果调用者提供 大于 ，则： 该减法在发布构建中下溢为 算术（ ，即每个真实生产部署）。Rust 不会在溢出时 panic——减法静默包装为大的负数，然后直接传递给 。 在 内部， 作为 重新解释负 为巨大的 （通过二进制补码重新解释），并且 立即 panic 容量溢出，因为请求的分配超过 Rust 的最大允许向量容量。 概念验证 以下完全验证、执行的复现隔离了 中确切的算术和数据流 — （针对本地编译的 Rust 1.75 toolchain 验证；匹配真实 crate 的逻辑逐行）： 将 馈入真实的 逻辑： 实际执行输出： 进程退出代码：101 (panic/crash)。 最小现实世界复现（针对实际 crate） 针对任何已发布的真实 crate 运行此代码会以相同的容量溢出 panic 崩溃。 影响 拒绝服务: 任何调用 且攻击者可影响偏移量的进程会立即崩溃。 根据部署（线程 per 请求 vs. 单进程/异步运行时，无 panic 隔离），这可能会中断整个服务，而不仅仅是处理请求/线程。 不需要特殊权限、认证或复杂条件——单个超出范围的整数参数就足够了。 这是一个安全的 Rust panic（边界检查，非内存不安全）——通过此特定路径不可能执行代码或内存损坏。 推荐修复 在调用 之前，将 / 限制在源尺寸范围内，并/或验证计算出的尺寸为非负数。 此外， 本身应验证 并返回 （或明确记录 panic 并带有清晰消息），而不是静默接受负尺寸，这些负尺寸最终会深入分配器内部。 致谢 由 发现并报告。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

raster crate crop()整数下溢导致DoS漏洞分析

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

raster crate crop()整数下溢导致DoS漏洞分析

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！