攻击者投毒了三个 Rust crate，并利用 Cargo 构建运行恶意软件
这些发布存活不到两小时，但 Cargo 构建脚本可能会在开发者的笔记本电脑和 CI 运行器上执行该下载器。
By RuntimeWire Staff · Published
Primary source: Aligned News - AI Intelligence
为何重要
Rust 的内存安全并不能保护构建免受恶意依赖项的侵害。被攻破的维护者凭证可以使攻击者在开发者机器和 CI 系统上执行代码。
攻击者通过一个与 David Roundy 关联的被攻破的发布账号在 8 月 20 日发布了三个 Rust crates 的恶意版本，把常规的 Cargo 构建变成了下载并执行未知有效载荷的途径。Rust Security Response Team 在大约两小时内删除了这些发行版并锁定了 Roundy 的 crates.io 账号。
Roundy 是一名被 Oregon State University 列为前教员的物理学家，他维护着 arrayref、internment 和 append-only-vec。他的 arrayref 文档 描述了一个刻意精简的包：四个用于从切片和数组创建数组引用的宏。该有限的范围使得它成为那种开发者可以安装后就不再多想的依赖。…
When you purchase through links in our articles, we may earn a small commission. This doesn’t affect our editorial independence.