远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2023: 4635 公告中提及的一个漏洞影响。

  - Cargo 会下载 Rust 项目的依存关系并编译项目。与 Rust 1.71.1 之前版本捆绑的 Cargo 0.72.2 之前版本在类 UNIX 系统上提取 crate 存档时不遵守 umask。若用户下载的 crate 包含任何本地用户可写入的文件，则其他本地用户可利用此漏洞来变更由当前用户编译和执行的源代码。为防止攻击者利用现有的缓存提取，Rust 1.71.1 或更高版本中包含的 Cargo 二进制版本 0.72.2 将自动清除由较旧版本的 Cargo 生成的缓存。变通方案是，配置系统以防止其他本地用户访问 Cargo 目录，该目录通常位于“~/.cargo”中。(CVE-2023-38497)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 8：rust-toolset：rhel8 (RHSA-2023: 4635)

high Nessus 插件 ID 179817

版本 1.1