Атака на цепочку поставок: вредоносный код попал в популярный крейт arrayref и его соседей

20 августа в 07:15 UTC команда безопасности Rust получила сообщение о вредоносном крейте proc-macro1: у него был сборочный скрипт, скачивавший вредоносную нагрузку. Разбираясь в цепочке, команда обнаружила, что пострадал популярный крейт arrayref.

Что произошло

Вредоносный крейт и пять похожих на него удалены. Одновременно выяснилось, что arrayref был переопубликован и переведён на зависимость от вредоносного крейта; последние версии отозваны.

Вредоносная версия удалена, а ошибочно отозванные версии возвращены обратно. Пострадали тем же способом и другие крейты того же автора — internment и append-only-vec; учётная запись заблокирована.

Про автора arrayref

Автора arrayref в сговоре не подозревают: считается, что скомпрометирован его компьютер или учётные данные. С ним пытаются связаться.

Сколько провисело

В объявлении приведено точное время, которое каждая версия была доступна:

• arrayref 0.3.10 — 86 минут;
• internment 0.8.7 — 90 минут;
• append-only-vec 0.1.9 — 107 минут.

Там же дана команда find для проверки локального кеша. Обнаружила и сообщила исследовательская команда Nextron Systems.

Чем эта атака отличается от предыдущих

Злоупотребление шло не через подделку крейта, а через скомпрометированную учётную запись мейнтейнера. То есть проверка «похоже ли имя на известное» здесь не работает вовсе: крейт был настоящим, с настоящим именем и настоящим репозиторием.

И вторая деталь: arrayref встречается в транзитивных зависимостях. Пострадать мог любой, кто тянул его как часть дерева, даже не подозревая о его существовании.

Что делать

Прогнать указанную команду по локальному кешу и при обнаружении пересобрать зависимости. Сообщения о подозрительных версиях — на security@rust-lang.org.

Оригинал

Supply chain attack on arrayref от 20 августа 2026 года