Проект Rust удалил вредоносные версии трех популярных пакетов из репозитория crates.io после того, как скомпрометированная учетная запись одного из поддерживающих разработчиков опубликовала обновления, добавляющие зависимость с подменой имени. Эта зависимость содержала скрипт сборки, который загружал и выполнял удаленный вредоносный код во время компиляции.

Зараженные версии пакетов включают arrayref 0.3.10, internment 0.8.7 и append-only-vec 0.1.9. Все они были опубликованы от имени одного и того же владельца, что указывает на возможность целенаправленного взлома.

После обнаружения вредоносного кода команда Rust предприняла немедленные меры по удалению затронутых версий и уведомлению сообщества о потенциальной угрозе. Этот инцидент подчеркивает важность безопасности цепочки поставок и необходимость регулярного аудита зависимостей в проектах.

Согласно статистике, затронутые пакеты были загружены более 245 миллионов раз, что делает этот инцидент особенно серьезным. Разработчики, использующие данные пакеты, должны немедленно обновить свои проекты до безопасных версий.

Проект Rust призывает всех пользователей быть более внимательными к зависимостям и проверять их на наличие возможных уязвимостей. Данный случай стал еще одним напоминанием о том, как важно поддерживать безопасность и надежность программного обеспечения, особенно в условиях растущих угроз кибербезопасности.

Источник новости:
The Hacker News

Читать полностью