TL;DR : si vous avez rafraîchi un Cargo.lock ce matin entre 7h15 et 9h20 UTC, allez fouiller ~/.cargo/registry/cache. Sinon, vous n’avez rien à faire.
Si vous n’écrivez pas une ligne de Rust, lisez quand même : rien de ce qui suit n’est propre à Rust. Le même mécanisme fonctionne à l’identique sur npm, sur PyPI et sur les dépôts de votre distribution. C’est l’histoire d’un compte volé et d’un réflexe de mise à jour retourné contre celui qui l’a.
À 7h15 UTC, la version 0.3.10 de la crate arrayref est publiée sur crates.io depuis un compte compromis. Elle ne change rien de visible, elle ajoute juste une dépendance : proc-macro1, un typosquat de proc-macro2, l’une des bibliothèques les plus répandues de l’écosystème (l’annonce de l’équipe Rust).
Le script de compilation de cette fausse dépendance télécharge un binaire sur une adresse IP nue, sans vérifier le certificat, et l’exécute. Tout se joue au build : il suffisait de compiler un projet, sans jamais appeler une seule fonction d’arrayref.
Le rayon de souffle est large. Cette bibliothèque cumule environ 245 millions de téléchargements et se trouve sous winit, egui, iced, blake3 et une partie des piles Solana et Ethereum. Deux autres crates du même compte ont été piégées dans la foulée, internment et append-only-vec. Les fenêtres d’exposition : 86, 90 et 107 minutes.
Le détail qui distingue cette attaque des précédentes n’est pas le typosquat, c’est ce qui l’accompagne. Les attaquants ont retiré les versions saines 0.3.5 à 0.3.9, à quatre secondes d’intervalle, par script (l’analyse de StepSecurity). Cargo affiche alors son avertissement habituel sur une version retirée, et le réflexe de tout le monde est de monter d’un cran. Droit dans le piège.
L’équipe Rust a verrouillé le compte et supprimé six crates. Elle ne nomme pas le mainteneur et penche pour une machine ou des identifiants volés, pas pour un acte volontaire : la distinction compte, il est la première victime de l’histoire.
Rust est aussi dans le brief du jour, pour une raison beaucoup plus joyeuse.
