🔒Открыть пост
и посмотреть медиа
и посмотреть медиа
Малварь в Rust-крейте arrayref запускается при сборке
20 августа на crates.io появилась версия arrayref 0.3.10 с зависимостью proc-macro1. Её build-скрипт качал и запускал бинарник прямо во время компиляции.
Достаточно было просто собрать проект — без запуска кода и без тестов. Внутри src/ лежала честная копия proc-macro2, поэтому сборка проходила без единого подозрения.
Отдельный трюк: злоумышленник отозвал старые версии 0.3.5–0.3.9, и Cargo сам советовал обновиться до заражённой. Проверь Cargo.lock и логи сборок с 20 августа, вредоносные версии уже удалены.
🔗 Подробнее
@nuancesprog #Security #Rust