Se ha informado una vulnerabilidad (RUSTSEC-2026-0387) en la biblioteca de cálculo criptográfico Rust crypto-bigint que puede conducir a ataques de temporización (ataques de canal lateral). No se trata simplemente de un caso de "actualiza para solucionarlo", ya que productos que adoptan pilas Web3/EVM principales como Alloy se ven afectados directamente; por ello, compartimos esta información para clarificar la situación y alertar sobre los riesgos. 1. Resumen de la vulnerabilidad Biblioteca afectada: crypto-bigint (biblioteca de operaciones de enteros de tamaño fijo) Problema: En procesos internos como la sustracción o la multiplicación de Montgomery, las ramificaciones condicionales pueden surgir debido a optimizaciones del compilador, generando diferencias en el tiempo de ejecución dependientes de los datos de entrada. Riesgo: Un atacante podría medir con precisión tiempos de ejecución en milisegundos o microsegundos para inferir o recuperar información confidencial, como claves privadas (ataque de temporización). 2. ¿Por qué no se puede actualizar inmediatamente? Aunque ya se ha lanzado una versión corregida (v0.7.6) de crypto-bigint, se han presentado casos en los que las dependencias de bibliotecas superiores impiden la actualización. Alloy, ampliamente utilizado en entornos EVM/Ethereum, depende de k256 v0.13, una biblioteca criptográfica. Sin embargo, k256 v0.13 aún no ha actualizado su dependencia a crypto-bigint v0.7.6 (o está a la espera de un lanzamiento). Por lo tanto, simplemente ejecutar cargo update no resuelve el problema, ya que la estructura de bloqueo de dependencias mantiene las versiones antiguas. 3. Acciones futuras y procedimientos de verificación Visualización del impacto: Ejecute primero cargo tree -i crypto-bigint o cargo audit para identificar qué rutas (por ejemplo, alloy -> k256) introducen esta dependencia en su proyecto. Monitoreo de actualizaciones superiores: Vigile los PR de actualización (bump) en k256 y alloy para aplicar el parche. Consideración de soluciones alternativas: Si es necesario actuar con urgencia, evalúe reemplazar manualmente las dependencias mediante [patch.crates-io] en Cargo.toml. Se espera un cierto retraso antes de que la corrección se propague por todo el ecosistema Rust/Web3. Se recomienda encarecidamente a quienes operan con estas pilas que sigan el comportamiento de sus árboles de dependencias. ▼ Advisory de RustSec https://t.co/FJSYIOHwtH #Rust #RustLang #Web3 #Alloy #Ethereum #Security #暗号技術