Actix web framework'te sıkıştırma açığı: kaynak tükenmesi riski

Rust web framework'ü Actix'te sıkıştırılmış istekleri işlerken kaynak tükenmesi zafiyeti tespit edildi. RustSec Advisory Database'e eklenen danışman, decompression işlemi sırasında kötü niyetli isteklerin sunucu kaynaklarını aşırı tüketmesine neden olabileceğini belirtiyor.

Sorun şu: istemci sıkıştırılmış veri gönderdiğinde Actix bunu açarken, bellek ve CPU kullanımı kontrol altına alınmazsa bir saldırgan çok sayıda ya da özel hazırlanmış istekle sunucuyu çökertilebiliyor. Bu tür saldırılara "decompression bomb" veya "zip bomb" deniyor, küçük boyutlu ama açıldığında muazzam boyuta ulaşan dosyalar.

Etkilenen Actix sürümleri için güvenlik yaması yayınlandı. Eğer Actix kullanan bir proje yönetiyorsan, bağımlılık sürümünü kontrol et ve güncellemeleri takip et. Danışman detayları RustSec veritabanında mevcuttur.

Bu tür açıklar özellikle web uygulamalarında kritik çünkü dış istekleri doğrudan işliyorsun. Decompression işlemlerine zaman ve bellek sınırları koymak, bu riskleri azaltmanın temel yolu.