Rust 공급망 공격, Solana 인접 빌드 파이프라인 위협

이 공격은 다운스트림 취약점이 필요하지 않았습니다. 원문 보고서에 따르면, 오염된 종속성을 가져와 Cargo 빌드를 실행하는 것만으로도 원격 페이로드를 트리거하기에 충분했습니다. 이로 인해 위험은 애플리케이션 악용 가능성에서 비밀 정보, 서명 키, 인프라 액세스 권한이 주로 위치하는 개발자 워크스테이션 및 지속적 통합 환경으로 옮겨졌습니다.

SlowMist, Socket, StepSecurity의 보안 연구원들은 arrayref@0.3.10, internment@0.8.7, append-only-vec@0.1.9의 악성 릴리스를 확인했습니다. 오염된 패키지들은 타이포스쿼팅된 proc-macro1 종속성을 도입했습니다. Cargo 빌드 중에 이 종속성의 빌드 스크립트는 많은 팀이 코드를 검토하기도 전에 원격 페이로드를 다운로드하고 실행했습니다.

Rust 보안 팀은 악성 릴리스를 제거하고 유지 관리자 계정을 잠갔으며, 이는 유지 관리자의 기기나 배포 자격 증명이 침해되었을 가능성을 시사합니다. 이 세부 사항은 공격 표면이 crate 코드의 일회성 기술적 결함이 아니었음을 의미하기 때문에 중요합니다. 이는 패키지 공급망 자체 내부의 계정 수준 침해였습니다.

Solana 노출이 이를 다르게 만드는 이유

arrayref는 Solana 인접 구성 요소와 관련된 종속성 체인을 포함하여 Rust 생태계 전반에서 널리 사용됩니다. 프로젝트 그래프에 이러한 crate가 존재한다고 해서 다운스트림 프로젝트가 침해되었다는 의미는 아닙니다. 하지만 악성 버전이 직접적인 업데이트 없이 전이적 종속성을 통해 프로젝트에 들어올 수 있기 때문에 많은 팀이 즉시 lockfile과 빌드 로그를 감사해야 했음을 의미합니다.

Solana는 가장 활발한 블록체인 개발자 생태계 중 하나로 꾸준히 선정되어 왔으며, 개발자 활동별 상위 블록체인에 대한 최근 데이터는 해당 빌드 표면의 규모를 보여줍니다. 종속성 트리의 하단 근처에 있는 침해된 crate는 다운스트림 애플리케이션에 가시적인 변화 없이 지갑, 검증인, 인덱서 및 DeFi 인터페이스 내부에 자리 잡을 수 있습니다.

더 큰 걱정은 어떤 특정 프로젝트가 악성 바이너리를 배포했느냐가 아닙니다. 암호화폐 인프라가 공유 오픈 소스 패키지 레지스트리에 얼마나 많이 의존하고 있느냐는 것입니다. 침해된 단일 유지 관리자 계정은 서로 다른 팀과 제품의 빌드 그래프를 통해 퍼질 수 있습니다. 보안 팀의 즉각적인 작업은 Cargo.lock 파일에서 세 가지 악성 버전을 확인하고 CI 러너에서 비정상적인 아웃바운드 연결을 검사하는 것입니다.

대응을 복잡하게 만드는 한 가지 요인은 버전 제거와 로컬 정리 사이의 간격입니다. 패키지 레지스트리는 악성 릴리스를 신속하게 취소할 수 있지만, 그렇다고 해서 개발자 기기의 Cargo.lock 파일을 다시 쓰거나 이미 배포된 컨테이너를 다시 빌드하지는 않습니다. CI에서 캐시된 종속성으로 빌드하는 팀은 lockfile을 명시적으로 새로 고치지 않는 한 클린 버전을 가져오지 않을 수 있습니다. 이러한 운영상의 지연은 공개 권고가 나간 후에도 공격자가 훔친 자격 증명을 사용할 수 있는 기회를 제공합니다.

코드 리뷰 전 빌드 타임 공격 발생

빌드 스크립트는 컴파일 타임에 실행되기 때문에 위험한 위치를 차지합니다. 이 경우 타이포스쿼팅된 종속성은 단순한 이름 장난이 아니었습니다. 빌드 단계를 사용하여 원격 페이로드를 가져와 실행했으며, 이는 악성 동작이