SafeDep 表示，受污染的 arrayref 发布版在 Rust 构建期间运行了恶意软件
SafeDep 记录了 8 月 20 日的一起妥协事件：arrayref 0.3.10 拉取了一个错拼依赖，该依赖在编译期间运行了一个远程二进制文件；crates.io 随后才删除这些恶意包。
By RuntimeWire Staff · Published
Primary source: SafeDep
为何重要
该次攻击滥用了 Cargo 的正常构建流程，说明了为什么依赖项安全正在从依赖通告源转向在包的脚本执行前就阻止这些包的控制措施。
SafeDep，由 Abhisek Datta (@abh1sek) 联合创立的供应链安全初创公司，于 2026 年 8 月 20 日 报告，称一个被入侵的广泛使用的 Rust 包 arrayref 的发布版在编译期间下载并执行了恶意软件。根据 SafeDep 的说法，crates.io 团队随后删除了这些恶意包。
该攻击将一次普通的 Cargo 构建变成了投递机制。arrayref 版本 0.3.10 添加了对 proc-macro1 的依赖 —— 一个冒充合法包 proc-macro2 的包。Cargo 自动编译了该依赖，从而导致其 build.rs 脚本从远程服务器获取并启动了一个二进制文件。开发者只需编译一个在依赖解析时选中被污染发布版的项目即可触发。…
When you purchase through links in our articles, we may earn a small commission. This doesn’t affect our editorial independence.