Rust 1.100 presenta enfriamientos de seguridad de la carga para prevenir ataques de dependencia maliciosa

Rust 1.100 introducirá tiempos de reutilización de seguridad opcionales en Cargo, lo que brindará a los desarrolladores una forma de retrasar las dependencias recién publicadas antes de ingresar a los proyectos. Programado para el 12 de noviembre de 2026, el lanzamiento tiene como objetivo dar a los equipos de seguridad y mantenedores de paquetes tiempo para detectar actualizaciones maliciosas antes de que las compilaciones automatizadas las incorporen.

Su script de compilación descargó una carga útil, mostrando cómo una dependencia de confianza puede llevar malware a los sistemas de desarrolladores sin cambios obvios en el código de la aplicación. Rust 1.100 Introduces Cargo Security Cooldowns Las tres versiones comprometidas permanecieron en crates.io durante 86, 90 y 107 minutos, respectivamente, antes de su eliminación, según los respondedores de seguridad de Rust citados por Socket. Durante el incidente, los atacantes añadieron una dependencia dañina a los paquetes de confianza. Los informes sobre las versiones comprometidas del paquete Rust explican cómo Cargo ejecutó el script de compilación malicioso durante la compilación, lo que permite la ejecución de código antes de que los desarrolladores usaran la biblioteca afectada.

Cuando Cargo selecciona dependencias, excluye lanzamientos menores que el límite elegido. Cargo también informa los lanzamientos omitidos y sus edades, lo que ayuda a los desarrolladores a comprender las actualizaciones bloqueadas.

Consultar publicación original ↗