Por qué importa: El ataque usó una dependencia falsa en el proceso de compilación.
Lo esencial
- Se eliminaron tres versiones de paquetes de Rust publicadas el 20 de agosto de 2
- La vulnerabilidad se activaba al compilar, no mediante uso directo del paquete
- No hay versión corregida ni CVE asignada por el equipo de seguridad
Detalles del ataque en arrayref y otros paquetes
Las versiones afectadas fueron arrayref 0.3.10, internment 0.8.7 y append-only-vec 0.1.9, publicadas el mismo día y removidas en menos de dos horas.
Evidencia del comportamiento malicioso
El equipo de seguridad verificó que un paquete de procedimientos maliciosos descargaba una carga externa durante la compilación, sin uso directo de los archivos del paquete.