Ataque a la cadena de suministro de Rust pone en riesgo pipelines vinculados a Solana

El ataque no requirió una vulnerabilidad posterior. Simplemente descargar una dependencia contaminada y ejecutar una compilación de Cargo fue suficiente para activar una carga útil remota, según el informe original. Esto trasladó el riesgo de la explotabilidad de la aplicación a la estación de trabajo del desarrollador y al entorno de integración continua, donde suelen residir secretos, claves de firma y acceso a la infraestructura.

Investigadores de seguridad de SlowMist, Socket y StepSecurity identificaron versiones maliciosas de arrayref@0.3.10, internment@0.8.7 y append-only-vec@0.1.9. Los paquetes contaminados introdujeron una dependencia proc-macro1 mediante typosquatting. Durante las compilaciones de Cargo, el script de compilación de la dependencia descargó y ejecutó una carga útil remota antes de que muchos equipos pudieran siquiera inspeccionar el código.

El equipo de seguridad de Rust eliminó las versiones maliciosas y bloqueó la cuenta del mantenedor, señalando un probable compromiso de la máquina del mantenedor o de sus credenciales de publicación. Ese detalle importa porque significa que la superficie de ataque no fue un fallo técnico puntual en el código del crate. Fue una brecha a nivel de cuenta dentro de la propia cadena de suministro de paquetes.