Calamine kütüphanesinde kritik güvenlik açığı: CFB parser panik ve DoS riski

Rust ekosisteminin Excel ve diğer ofis dosyalarını işleyen calamine kütüphanesinde ciddi bir güvenlik sorunu tespit edildi. CFB (Compound File Binary) ayrıştırıcısında sınırsız bellek ayırma ve panik tetiklemesine yol açan iki farklı sorun bulunuyor.

Sorunun birinci kısmı, kötü niyetli bir CFB dosyasının ayrıştırıcıyı sınırsız miktarda bellek tahsis etmeye zorlayabilmesidir. Bu, hizmet reddi (DoS) saldırısına açık kapı bırakır. İkinci sorun ise belirli dosya yapılarının ayrıştırıcıda panik (panic) tetiklemesidir. Her iki durumda da uygulamanın çökmesi söz konusu olabilir.

Calamine, Rust projelerinde yaygın olarak kullanılan bir kütüphanedir. Özellikle veri işleme, raporlama ve otomasyon araçlarında Excel dosyalarını okumak için tercih edilir. Eğer senin projende calamine kullanıyorsan ve kullanıcılardan dosya yüklemesi kabul ediyorsan, bu açık seni etkileyebilir.

Rustsec advisory veritabanına eklenen bu uyarı, calamine geliştiricilerinin sorunu çözmek için çalışmalar yaptığını gösteriyor. Henüz resmi bir düzeltme sürümü yayımlanmamış olabilir, bu nedenle kütüphanenin güncelleme sayfasını takip etmeye değer. Geçici olarak, güvenilmeyen kaynaklardan gelen CFB dosyalarını işlemeden önce dosya boyutu ve yapısını kontrol etmek akıllıca bir adım olur.