Solana bileşenleriyle bağlantılı Rust crate'lerine yönelik tedarik zinciri saldırısı

Öne Çıkan Noktalar

Güvenlik araştırmacıları SlowMist, Socket ve StepSecurity, arrayref@0.3.10, internment@0.8.7 ve append-only-vec@0.1.9 sürümlerini etkileyen koordineli bir tedarik zinciri saldırısı bildirerek duyurdu. Kötü amaçlı sürümlere, adı taklit edilen bir proc-macro1 bağımlılığı eklendi. Bağımlılığın derleme betiği, Cargo derlemeleri sırasında uzaktan bir yük indirip çalıştırdı. Rust güvenlik ekibi kötü amaçlı sürümleri kaldırdı ve bakımcının hesabını kilitledi. Rust, bakımcının bilgisayarının veya yayımlama kimlik bilgilerinin muhtemelen ele geçirilmiş olduğunu belirtti. Arrayref, Solana ile ilgili bileşenleri içeren bağımlılık zincirlerinde yer alıyor; ancak rapor, alt projelerde bir ihlal olduğunu doğrulamadı.

Piyasa Duyarlılığı

temkinli düşüş, teknoloji odaklı, oynak.

Gerekçe: Saldırı, etkilenen Rust bağımlılıklarını derleyen geliştiricileri etkileyebilecek bir yazılım tedarik zinciri riskini ortaya çıkardı.

Benzer Geçmiş Örnekler

Bu tür tedarik zinciri saldırıları, genellikle etkilenen yazılım bağımlılıkları ve geliştirme iş akışları etrafında kısa vadeli endişe yaratır. Mevcut olay, raporun Solana ile ilgili alt projelerde ihlal olduğunu doğrulamamış olması nedeniyle farklılık gösterebilir.

Zincirleme Etki

Geliştiriciler etkilenen başka bağımlılık zincirleri tespit ederse güvenlik incelemeleri ve derleme kısıtlamaları, ilgili Rust projelerine yayılabilir. Alt projeler kötü amaçlı sürümleri derlemediklerini doğrularsa etki sınırlı kalabilir.

Fırsatlar ve Riskler

Fırsatlar: Geliştiriciler, etkilenen sürümlerin kaldırıldığının doğrulanması için resmî güvenlik güncellemelerini ve bağımlılık denetimlerini izleyebilir. Doğrulanmış düzeltme adımları, Rust derleme ortamlarına ilişkin belirsizliği azaltabilir.

Riskler: Kaldırılmadan önce etkilenen bağımlılıkları derledilerse geliştiriciler ihlal riskiyle karşı karşıya kalır. Alt projelerin maruz kaldığını gösteren yeni kanıtlar, ilgili bağımlılık zincirlerini kullanan projelere yönelik güvenlik endişelerini artırabilir.