Ataque à Cadeia de Suprimentos Rust Coloca Pipelines de Build Adjacentes à Solana em Risco

O ataque não exigiu uma vulnerabilidade de downstream. Simplesmente puxar uma dependência contaminada e executar um Cargo build foi suficiente para acionar um payload remoto, de acordo com o relatório original. Isso transferiu o risco da explorabilidade do aplicativo para a estação de trabalho do desenvolvedor e o ambiente de integração contínua, onde segredos, chaves de assinatura e acesso à infraestrutura costumam residir.

Pesquisadores de segurança da SlowMist, Socket e StepSecurity identificaram lançamentos maliciosos de arrayref@0.3.10, internment@0.8.7 e append-only-vec@0.1.9. Os pacotes contaminados introduziram uma dependência proc-macro1 com typosquatting. Durante os Cargo builds, o script de build da dependência baixou e executou um payload remoto antes mesmo que muitas equipes pudessem inspecionar o código.

A equipe de segurança da Rust removeu os lançamentos maliciosos e bloqueou a conta do mantenedor, apontando para um provável comprometimento da máquina do mantenedor ou das credenciais de publicação. Esse detalhe importa porque significa que a superfície de ataque não foi uma falha técnica isolada no código da crate. Foi uma violação em nível de conta dentro da própria cadeia de suprimentos de pacotes.