Безопасность
Уязвимости, вредоносные крейты и инциденты безопасности экосистемы.
В базу RustSec за 2024–2025 годы попал ряд предупреждений о крейтах, разработка которых остановлена. Среди них — инструменты, которые часто оказываются в графе зависимостей.
В крейте astral-tokio-tar до версии 0.5.6 найдена уязвимость разбора границ, позволяющая злоумышленнику добавить скрытые записи в архив.
Команда crates.io удалила два вредоносных крейта — faster_log и async_println. Оба выглядели как настоящая библиотека для логирования, а на деле во время работы программы искали в обрабатываемых файлах приватные ключи Ethereum и Solana и отправляли их на посторонний сервер.
Команда crates.io и рабочая группа реагирования набезопасности Rust предупредили о фишинговой кампании. Письма приходят с домена rustfoundation.dev, который не принадлежит ни Rust Foundation, ни Rust-проекту, и предлагают авторизоваться, чтобы «ограничить ущерб» своим крейтам.
Поддержка основных крейтов для работы с YAML в экосистеме Rust фактически прекратилась — бюллетени вышли в разное время, но описывают одну и ту же картину.
Асинхронный рантайм async-std признан прекращённым: проект больше не развивается и не получает исправлений.
Команда crates.io обнаружила, что значение cookie cargo_session сохранялось в сервисе мониторинга ошибок Sentry в составе тел событий. Инцидент раскрыт публично; приняты меры, затронутым пользователям рекомендуется перелогиниться.
В tokio broadcast-канал при получении значения вызывает его клонирование, требуя лишь T: Send. Если реализация Clone опирается на само значение, а оно не Sync, возникает неопределённое поведение.
В gitoxide две проблемы, ослабляющие доверие к распаковываемым репозиториям.
Автор криптографического крейта ring объявил бессрочный перерыв в разработке, предупредив, что сообщённые уязвимости могут оставаться без внимания продолжительное время.
Два крейта для работы с OpenPGP получили бюллетени о достижимых паниках на некорректном вводе.
В виртуальной машине WebAssembly wasmtime сочетание хвостовых вызовов и построения трассировки стека приводило к падению рантайма.
Рабочая группа по безопасности Rust сообщила, что исправление CVE-2024-24576 (экранирование аргументов при вызове пакетных файлов на Windows) оказалось неполным. Выпущен отдельный бюллетень CVE-2024-43402.
В реализации QUIC quinn-proto вызовы Endpoint::retry() на серверной стороне могут привести к панике.
В движке JavaScript boa_engine ошибка в реализации операций AsyncGenerator приводит к необработанному исключению на определённых скриптах. Бюллетень оценён в 9.2.