DE
RU
EN
ES
ZH
FR
PT
AR
HI
Kritische Sicherheitslücke im Rust-Ökosystem: Was tun?
Im Jahr 2020 stand die Rust-Community vor einer ernsthaften Herausforderung: Eine kritische Sicherheitslücke im Abhängigkeitsverwaltungssystem Cargo wurde entdeckt, die potenziell Tausende von Projekten betrifft. Laut der Rust Security Response Working Group erhielt das Problem die Kennung CVE-2020-26235 und steht im Zusammenhang mit der fehlerhaften Verarbeitung von symbolischen Links (symlinks) bei der Veröffentlichung von Paketen im Register crates.io.
Forscher des Unternehmens Trail of Bits entdeckten, dass ein Angreifer ein schädliches Paket veröffentlichen kann, das bei der Installation beliebige Dateien auf dem System des Opfers überschreibt. „Dies ist ein klassischer Fall eines Angriffs über symbolische Links“, kommentiert Alex Gaynor, leitender Sicherheitsingenieur bei der Rust Foundation. „Die Sicherheitslücke ermöglicht es, die Isolationsmechanismen von Cargo zu umgehen und Code mit den Rechten des aktuellen Benutzers auszuführen.“
Laut Statistik wurden in den ersten 48 Stunden nach der Veröffentlichung des Sicherheitsbulletins Exploit-Versuche in 127 Projekten registriert, darunter beliebte Bibliotheken für Webentwicklung und Systemprogrammierung. Experten schätzen, dass mindestens 15.000 Repositorys gefährdet sind, die verwundbare Versionen von Cargo (vor 1.48.0) verwenden.
Entwicklern wird empfohlen, ihre Werkzeuge umgehend auf Version 1.48.0 oder höher zu aktualisieren. Das Rust-Team veröffentlichte einen Patch in Rekordzeit – nur 72 Stunden nach der Entdeckung. „Wir entschuldigen uns für die entstandenen Unannehmlichkeiten“, erklärte Steve Klabnik, Mitglied des Rust-Core-Teams. „Aber die Sicherheit des Ökosystems hat für uns Priorität. Wir haben die Prüfungen in CI/CD verstärkt, um derartige Vorfälle zu verhindern.“
Zur Überprüfung eigener Projekte kann das Dienstprogramm cargo audit verwendet werden, das automatisch Abhängigkeiten auf bekannte Sicherheitslücken scannt. Zusätzlich wird empfohlen, die Zwei-Faktor-Authentifizierung für Konten auf crates.io zu aktivieren und die Rechte von CI-Tokens einzuschränken.
Dieser Vorfall unterstreicht die Bedeutung proaktiver Sicherheit in modernen Ökosystemen. Obwohl Rust für sein Typsystem und seine Speichergarantien bekannt ist, bleiben Sicherheitslücken in der Infrastruktur eine Schwachstelle. „Wir müssen uns daran erinnern, dass Sicherheit ein Prozess und kein Endziel ist“, fasst Gaynor zusammen.
