O Projeto Rust removeu versões maliciosas de três crates amplamente utilizados do crates.io após uma conta de mantenedor comprometida publicar lançamentos que adicionaram uma dependência typosquatted cujo script de construção baixou e executou um payload remoto durante a compilação. Os lançamentos afetados são arrayref 0.3.10, internment 0.8.7 e append-only-vec 0.1.9, todos publicados pelo mesmo proprietário.
Os detalhes técnicos incluem:
A exploração ocorreu por meio de uma dependência maliciosa adicionada a crates populares.
O script de construção das versões comprometidas baixou e executou um payload remoto.
Foram afetados mais de 245 milhões de downloads desses crates.
Recomendações
Verifique se você está usando versões atualizadas e seguras dos crates.
Monitore os lançamentos de atualizações de segurança para os crates que você utiliza.
Considere implementar práticas de segurança de cadeia de suprimentos para dependências.
A análise do contexto de Threat Intelligence não revelou informações adicionais relevantes para este caso específico.
