Une vulnérabilité (RUSTSEC-2026-0387) susceptible de conduire à des attaques par timing (attaques par canaux auxiliaires) a été signalée dans la crate Rust de calcul cryptographique crypto-bigint. Au-delà d’une simple recommandation de mise à jour, cette vulnérabilité affecte directement des produits qui intègrent des piles Web3/EVM majeures telles qu’Alloy ; nous partageons donc cette information afin de clarifier la situation et alerter la communauté. 1. Aperçu de la vulnérabilité Crate concernée : crypto-bigint (bibliothèque d’opérations arithmétiques sur entiers de taille fixe) Problème : Lors de traitements internes tels que la soustraction ou la multiplication de Montgomery, des branches conditionnelles peuvent être introduites en raison d’optimisations du compilateur, entraînant des variations de temps d’exécution dépendantes des données d’entrée. Risque : Un attaquant capable de mesurer avec précision le temps d’exécution au niveau milli/micro-seconde pourrait en déduire ou reconstituer des informations sensibles telles que des clés privées (attaque par timing). 2. Pourquoi ne pas pouvoir simplement mettre à jour immédiatement ? Une version corrigée (v0.7.6) de crypto-bigint a bien été publiée, mais plusieurs projets sont bloqués en raison de dépendances en amont. La bibliothèque alloy, largement utilisée dans l’écosystème EVM/Ethereum, dépend de la crate cryptographique k256 v0.13. Or, k256 v0.13 ne prend pas encore en charge crypto-bigint v0.7.6 (ou attend sa publication). Par conséquent, une simple exécution de cargo update ne suffit pas à résoudre le problème : la structure des dépendances verrouillées maintient les anciennes versions en place. 3. Actions futures et procédures de vérification Visualisation de l’impact : Exécutez d’abord cargo tree -i crypto-bigint ou cargo audit pour identifier les chemins d’importation de cette dépendance dans votre projet (ex. : alloy -> k256). Surveillance des mises à jour en amont : Suivez attentivement les pull requests visant à mettre à jour k256 et alloy vers crypto-bigint v0.7.6. Étude de solutions de contournement : Si une intervention immédiate est impérative, envisagez d’utiliser [patch.crates-io] dans Cargo.toml pour remplacer manuellement les dépendances. Il est attendu qu’un léger délai se produise avant que la correction ne se propage à travers l’écosystème Rust/Web3. Les utilisateurs de ces piles sont fortement encouragés à surveiller l’évolution de leurs arbres de dépendances. ▼ Avis RustSec : https://t.co/FJSYIOHwtH #Rust #RustLang #Web3 #Alloy #Ethereum #Security #暗号技術