Безопасность
Уязвимости, вредоносные крейты и инциденты безопасности экосистемы.
В крейте zip — три уязвимости при распаковке, связанные с повышением привилегий. Исправлено в версии 9.0.0.
В крейте pest_grammars разбор глубоко вложенного ввода приводит к переполнению стека (отказ в обслуживании). CVSS 3.3, вектор — локальный. Исправлено в 2.9.3.
В крейте negentropy удалённый пир может вызвать отказ в обслуживании через неконтролируемое выделение памяти при разборе IdList. CVSS 7.5, вектор — сеть.
Одновременно опубликованы шестнадцать бюллетеней RustSec, затрагивающих семейство крейтов сжатия zstd: сами крейты zstd и zstd-sys, а также обёртка низкого уровня zstd-safe. Восемь из них относятся к zstd-safe и описывают ошибки в unsafe-коде, который пропускает данные в библиотеку C.
В TLS-библиотеке rustls вышли четыре бюллетеня (14.10.2026): Debug-вывод значений клиентской сессии раскрывает секреты TLS, неаутентифицированный ServerHello может понизить последующие соединения до классического обмена ключами, а brotli-распаковка сертификата способна выделить до 1 ГиБ ещё до аутентификации. Исправлено в версии 0.23.46.
Bytecode Alliance выпустила двенадцать бюллетеней безопасности wasmtime (14.10.2026). Самый серьёзный — побег из файловой песочницы при переименовании символических ссылок с завершающим слэшем (CVSS 8.8); остальные позволяют гостевому модулю вызвать панику хоста или исчерпание ресурсов.
В чистом Rust-декодере zstd ruzstd — «бомба распаковки»: подобранный небольшой вход разворачивается в огромный объём и исчерпывает память процесса. CVSS 7.5, выпущено 13 октября 2026 года.
В библиотеке графиков kuva непроверенные метки (labels) подставлялись в вывод без экранирования, что позволяло внедрять SVG-атрибуты, значения CSS и управляющие последовательности терминала. Бюллетень категории format-injection, выпущен 13 октября 2026 года.
Две критические уязвимости в крейте mykey (MIKEY, RFC 3830, обмен ключами для SRTP): в предзаданном ключевом режиме ключ генерации TEK передаётся открытым текстом (CVSS 9.1), а на приёме MAC-подпись сообщений MIKEY вообще не проверяется (CVSS 7.5). Выпущены 12 октября 2026 года, исправлено в версии 2.0.0.
В секбилитете протокольной библиотеки QUIC quinn-proto вышло шесть бюллетеней (12.10.2026): удалённый пир способен вызвать панику процесса или исчерпание памяти. Среди проблем — нулевые STREAM и DATAGRAM кадры, обход защиты от исчерпания памяти при сборке потоков и рост незакрытых смен Connection ID.
В крейте ic-cipher ошибка реализации Poly1305: на сообщениях длиной 64 байта и больше, выбранных атакующим, функция паниковала либо считала неверный код аутентификации. CVSS 7.5, выпущено 12 октября 2026 года.
В крейте ammonia (очистка HTML) выданы два бюллетеня, хотя сообщено о проблемах ещё в 2021 году. Исправлено в версиях 4.2.3 и 4.1.7.
В крейте bip322 найдена критическая уязвимость: функции проверки подписи BIP-322 принимали доказательство, подписанное ключом атакующего, как подтверждение владения чужим адресом стандарта P2WPKH и P2SH-P2WPKH. Оценка CVSS 9.1, выпущено 9 октября 2026 года.
В криптобиблиотеке libcrux исправлены три случая паники при обработке коротких и повреждённых входных данных. Два из них позволяют удалённому атакующему без прав вызвать панику — оценка CVSS 8.2 и 8.7. Бюллетени вышли 7 октября 2026 года.
В крейте decompress уязвимость типа tar-slip: при распаковке архивов tp-семейства записи пишутся без проверки обхода пути и могут выйти за пределы целевого каталога. Оценка CVSS 7.1, выпущено 3 октября 2026 года, исправленной версии нет.