fuente: https://thehackernews.com/2026/08/rust-supply-chain-attack-puts-build.html
El Proyecto Rust ha eliminado versiones maliciosas de tres crates de Rust ampliamente utilizados de crates.io después de que una cuenta de mantenedor comprometida publicara versiones que añadían una dependencia con errores tipográficos cuyo script de compilación descargaba y ejecutaba una carga útil remota durante la compilación.
Las versiones afectadas son arrayref 0.3.10, internment 0.8.7 y append-only-vec 0.1.9, todas publicadas desde la misma cuenta de propietario el 20 de agosto de 2026 y eliminadas en un plazo de 86 a 107 minutos.
Dado que el código malicioso residía en el script de compilación de la dependencia inyectada, bastaba con compilar un proyecto que la resolviera para ejecutar la carga útil, sin necesidad de llamar a ningún componente de los propios crates.
Se recomienda a los desarrolladores que busquen los archivos de los crates eliminados en ~/.cargo/registry/cache y que fijen la versión de arrayref a la 0.3.9 o anterior, después de que el Equipo de Respuesta de Seguridad de Rust recuperara las versiones modificadas maliciosamente durante la respuesta.
Cada brecha eventualmente toca un archivo, un binario descartado, una configuración editada, un DLL reemplazado y el monitoreo de integridad de archivos es el c...
Leer artículo →Apache Tomcat ha arreglado ocho deficiencias de seguridad que podrían permitir a los atacantes bypassar las comprobaciones de contraseña, exponer datos entre us...
Leer artículo →El plataforma de desarrollo Zeabur ha revelado detalles de un incidente de ciberseguridad en el que un atacante utilizó credenciales internas expuestas en texto...
Leer artículo →