Злонамеренная версия продержалась на crates.io всего чуть больше двух часов.
Не позволяйте себя сбить с толку тем показателем в 2,64 миллиона скачиваний.
StepSecurity вскрыла: в Rust три самых популярных пакета были «вклеены» вредоносные зависимости, и при сборке будет выполняться удалённый код.
Многие, увидев цифру скачиваний, сразу начинают паниковать.
Но это значение — исторически накопленные загрузки. Злоумышленная версия, по сути, успела просуществовать лишь чуть больше двух часов.
На что действительно стоит обратить внимание — это на тех, кто запускал cargo update сегодня: цепочка сборки могла уже подтянуть вредоносную версию в зависимости.
Не позволяйте себя сбить с толку тем показателем в 2,64 миллиона скачиваний.
StepSecurity вскрыла: в Rust три самых популярных пакета были «вклеены» вредоносные зависимости, и при сборке будет выполняться удалённый код.
Многие, увидев цифру скачиваний, сразу начинают паниковать.
Но это значение — исторически накопленные загрузки. Злоумышленная версия, по сути, успела просуществовать лишь чуть больше двух часов.
На что действительно стоит обратить внимание — это на тех, кто запускал cargo update сегодня: цепочка сборки могла уже подтянуть вредоносную версию в зависимости.