悪意あるRustクレートが公開、ビルド時にマルウェア実行
原題: Malicious Rust crate Arrayref runs a build-time payload
なぜ重要か
ビルド時マルウェアとアカウント侵害を組み合わせたサプライチェーン攻撃は、開発者が気づかないまま感染するリスクが高く、オープンソースエコシステム全体のセキュリティ対策強化が急務となっている。
2026年8月20日、人気のRustクレート「arrayref」の侵害されたバージョン0.3.10がcrates.ioに公開された。このバージョンはタイポスクワッティングクレート「proc-macro1」への依存を追加しており、プロジェクトのビルド中にリモートからバイナリをダウンロードして実行する仕組みが仕込まれていた。crates.ioチームはすでに悪意あるバージョンを削除済み。
セキュリティ企業SafeDepが報告したところによると、2026年8月20日、Rustの人気クレート「arrayref」の正規メンテナーである「droundy」のアカウントが侵害され、バージョン0.3.10がcrates.ioに公開された。
この悪意あるバージョンは「proc-macro1」という新たな依存クレートを追加している。「proc-macro1」のクレート名は、著名なRust開発者David Tolnayが管理する正規クレート「proc-macro2」に酷似したタイポスクワッティングであり、公開したアカウント「dtolney」もTolnayの本来のアカウント「dtolnay」と一文字違いに設定されている。さらにクレートのメタデータにはDavid Tolnayの名前が著者として偽装されていた。
最も深刻な点は、この攻撃がビルドスクリプトを悪用したビルド時実行であること。プロジェクトのコンパイル中に自動的にリモートバイナリがダウンロードされ実行される仕組みになっており、ユーザーが問題のあるバージョンを依存関係に含めて単にビルドを実行するだけで感染が成立する。
侵害されたアカウント「droundy」が管理していた「arrayref」および「append-only-vec」のGitHubリポジトリ、ならびにアカウント自体（github.com/droundy）は現在すべて404エラーとなっており、上流コードの確認ができない状態にある。
crates.ioチームはすでに悪意あるバージョンを削除しているが、SafeDepはIOC（侵害の痕跡）の確認と技術的な詳細分析を公開している。