悪意のあるRust crateがビルド時にマルウェアを実行
Judul asli: Malicious Rust crate Arrayref runs a build-time payload
Mengapa Ini Penting
サプライチェーン攻撃がRustエコシステムにも及び、ビルド時マルウェアの脅威が顕在化した
2026年8月20日、人気Rust crate「arrayref」の侵害バージョンv0.3.10がcrates.ioに公開され、ビルド時に遠隔バイナリをダウンロード・実行するマルウェアが確認された。
SafeDepチームの報告によると、2026年8月20日にRustの人気パッケージ「arrayref」のバージョン0.3.10がcrates.ioに公開された。この侵害バージョンは「proc-macro1」というタイポスクワッティングされたcrateへの依存を追加しており、そのビルドスクリプトがプロジェクトのコンパイル中に遠隔バイナリをダウンロードして実行する仕組みになっていた。コードはビルド時に実行されるため、悪意あるバージョンを含むプロジェクトをコンパイルするだけで感染が引き起こされる。
正規の「arrayref」および「append-only-vec」crateの管理者であるdroundyのアカウントが侵害されたとみられ、対応するGitHubリポジトリ（github.com/droundy/arrayref、github.com/droundy/append-only-vec）およびアカウント自体はすべて404エラーを返し、参照不能となっている。また、maliciousな「proc-macro1」は「dtolney」というアカウントから公開されており、著名な開発者David Tolnayの正規アカウント「dtolnay」に酷似したなりすましであることが確認された。crates.ioチームはすでに悪意あるバージョンを削除している。