Команда реагирования на инциденты безопасности Rust раскрыла атаку на цепочку поставок. Под удар попали несколько пакетов, опубликованных в crates.io, официальном реестре пакетов Rust для повторно используемых библиотек, включая вредоносный выпуск популярного крейта arrayref.

Инцидент обнаружили 20 августа 2026 года после того, как команда получила сообщение о вредоносности крейта proc-macro1. Проверка подтвердила, что его сборочный скрипт скачивал вредоносную нагрузку во время сборки.

После этого команда выявила и удалила proc-macro1, а также несколько вредоносных крейтов с похожими названиями: proc-macro-en, aovine, arone, aronenao и tinymember.

Серьёзнее оказалось другое: специалисты обнаружили, что хорошо известный крейт arrayref недавно переиздали как версию 0.3.10, добавив зависимость от вредоносного пакета proc-macro1. Одновременно легитимные свежие версии arrayref были отозваны, и пользователей подталкивали к скомпрометированному выпуску.

Команда Rust удалила arrayref 0.3.10 и восстановила отозванные легитимные версии. Также пострадали ещё два крейта того же автора: internment и append-only-vec. Их скомпрометированные выпуски удалили, а учётную запись мейнтейнера в crates.io заблокировали в качестве меры предосторожности.

Команда реагирования на инциденты безопасности Rust не считает автора arrayref причастным к атаке. Сейчас специалисты предполагают, что компьютер мейнтейнера или его учётные данные были скомпрометированы. Команда пытается связаться с автором.

Вредоносные пакеты были доступны недолго, но разработчикам советуют проверить, не были ли они загружены локально. arrayref 0.3.10 находился в crates.io 86 минут до удаления, internment 0.8.7 оставался там 90 минут, а append-only-vec 0.1.9 оставался 107 минут.

Также все версии proc-macro1, proc-macro-en, aovine, arone, aronenao и tinymember следует считать вредоносными.

Команда Rust поблагодарила исследовательскую группу Nextron Systems GmbH за первоначальное обнаружение и сообщение об инциденте. Подробности доступны в официальном анонсе в блоге Rust.