Kerentanan (RUSTSEC-2026-0387) yang dapat menyebabkan serangan timing (serangan saluran samping) telah dilaporkan pada crate kriptografi Rust crypto-bigint. Bukan hanya sekadar "perbarui untuk menyelesaikan masalah", karena produk-produk yang mengadopsi stack Web3/EVM utama seperti Alloy secara langsung terdampak, kami membagikan informasi ini untuk mengklarifikasi situasi dan memberikan peringatan. 1. Ikhtisar Kerentanan Crate yang terdampak: crypto-bigint (pustaka operasi bilangan bulat ukuran tetap) Masalah: Dalam proses internal seperti pengurangan dan perkalian Montgomery, cabang kondisional muncul akibat optimasi kompiler, menghasilkan perbedaan waktu eksekusi yang bergantung pada data input. Risiko: Penyerang dapat memperkirakan atau memulihkan informasi sensitif seperti kunci pribadi dengan mengukur waktu eksekusi hingga tingkat milidetik/mikrodetik (serangan timing). 2. Mengapa Tidak Bisa Segera Diperbarui? Versi perbaikan (v0.7.6) dari crypto-bigint sudah dirilis, tetapi terjadi hambatan karena ketergantungan pada library hulu. Alloy, yang banyak digunakan di sekitar EVM/Ethereum, bergantung pada crate kriptografi k256 v0.13. Namun, k256 v0.13 saat ini belum mengikuti pembaruan ke crypto-bigint v0.7.6 (atau sedang menunggu rilis). Oleh karena itu, hanya menjalankan cargo update tidak cukup untuk menyelesaikan masalah; struktur ketergantungan yang terkunci tetap mempertahankan versi lama. 3. Langkah Tindak Lanjut & Pemeriksaan Visualisasi Dampak: Jalankan cargo tree -i crypto-bigint atau cargo audit untuk memeriksa jalur ketergantungan (misalnya alloy -> k256) dalam proyek Anda. Pantau Pembaruan dari Hulu: Awasi PR peningkatan (bump) dari k256 dan alloy untuk menerapkan patch. Pertimbangkan Solusi Sementara: Jika perlu segera bertindak, verifikasi penggantian paksa ketergantungan melalui [patch.crates-io] di Cargo.toml. Diperkirakan akan ada jeda waktu sebelum perbaikan ini menyebar ke seluruh ekosistem Rust/Web3. Pengguna stack yang terdampak sangat disarankan untuk memantau perilaku pohon ketergantungan mereka. ▼ RustSec Advisory https://t.co/FJSYIOHwtH #Rust #RustLang #Web3 #Alloy #Ethereum #Security #Kriptografi
