Безопасность
Уязвимости, вредоносные крейты и инциденты безопасности экосистемы.
Код разбора номеров в крейте phonenumber может вызвать панику через достижимую проверку assert! на строке номера. Бюллетень оценён в 8.9.
В крейте nano-id генераторы идентификаторов использовали сокращённый набор символов, что резко снижает энтропию и облегчает перебор. Бюллетень оценён в 9.9 из 10.
В наборе крейтов gitoxide (gix) обнаружена группа связанных уязвимостей, связанных с проверкой путей при распаковке рабочего дерева.
В TLS-библиотеке rustls ConnectionCommon::complete_io мог уходить в бесконечный цикл в зависимости от сетевого ввода.
Стандартная библиотека Rust неправильно экранировала аргументы при вызове пакетных файлов (.bat и .cmd) на Windows через std::process::Command. Атакующий, контролирующий аргументы запускаемого процесса, мог выполнить произвольные команды оболочки, обойдя экранирование. Уязвимость критична, если на Windows вызываются пакетные файлы с недоверенными аргументами; другие платформы не затронуты.
В версии 1.7.2 библиотеки libgit2 исправлены три проблемы безопасности, доступные через Rust-крейт git2 (libgit2-sys).