慢雾警示 Rust 生态三个合法 Crates 遭供应链攻击

深潮 TechFlow 消息，8 月 21 日，SlowMist 警示称，Rust 生态合法 Crates [email protected]、[email protected] 和 [email protected] 遭供应链攻击，被引入恶意依赖 proc-macro1，可在 Cargo 构建期间下载并执行跨平台恶意软件。攻击可能导致构建时远程代码执行、主机信息收集、持久化及浏览器数据收集等风险。

用户应检查 Cargo.lock 和构建环境，确认是否使用受影响版本；需注意 arrayref = "0.3.9" 可能解析至 0.3.10，建议使用 arrayref = "=0.3.9" 精确锁定版本，并轮换可能暴露的凭证。