攻击者投毒了三个 Rust crate，以在构建期间窃取开发者凭证
这些恶意发布在涉及累计下载量约为 2.64 亿次的软件包中在线存在了 86 到 107 分钟。
By Ryan Merket · Published
Primary source: BleepingComputer
为何重要
Rust 的构建脚本在编译期间以开发者权限执行，这使得被污染的依赖项能够访问用于发布软件的凭证、源代码和签名密钥。
攻击者在 8 月 20 日利用 crates.io 上 David Roundy 的合法发布者账户，通过三个被广泛下载的 Rust 包投放恶意软件，将普通的软件构建过程变成对开发者工作站和 CI 系统的代码执行。
受影响的发布版本是 arrayref 0.3.10、internment 0.8.7 和 append-only-vec 0.1.9，据 Rust Security Response Team 报道。Rust 管理员在判断 Roundy 的计算机或凭据很可能被攻破后删除了这些发布并锁定了 Roundy 的账户。他们表示并不认为 Roundy 是蓄意为之。…
When you purchase through links in our articles, we may earn a small commission. This doesn’t affect our editorial independence.