Sebuah kerentanan (RUSTSEC-2026-0387) yang boleh menyebabkan serangan timing (serangan saluran samping) telah dilaporkan dalam kargo pengiraan kriptografi Rust, crypto-bigint. Bukan sekadar soal "kemas kini untuk menyelesaikan", kerana produk yang menggunakan stak Web3/EVM utama seperti Alloy secara langsung terjejas, kami berkongsi ini untuk menyusun situasi dan mengingatkan anda. 1. Gambaran keseluruhan kerentanan Kargo yang terjejas: crypto-bigint (pustaka pengiraan integer tetap saiz besar) Masalah: Dalam proses dalaman seperti pengurangan dan pendaraban Montgomery, cabang bersyarat muncul akibat pengoptimuman kompilator, menyebabkan perbezaan masa pemprosesan yang bergantung pada data input. Risiko: Penyerang boleh mengukur masa eksekusi hingga unit milisaat/mikrosaat untuk menebak atau memulihkan maklumat sulit seperti kunci sulit (serangan timing). 2. Mengapa "tidak boleh kemas kini segera"? Walaupun versi diperbaiki (v0.7.6) telah dikeluarkan untuk crypto-bigint, terdapat kes terperangkap akibat ketergantungan hulu. Alloy, yang banyak digunakan dalam EVM/Ethereum, bergantung pada kargo kriptografi k256 v0.13. Namun, k256 v0.13 pada masa ini belum menyokong pembaruan ke crypto-bigint v0.7.6 (atau sedang menunggu rilis). Oleh itu, hanya menjalankan cargo update tidak akan menyelesaikan masalah; struktur ini menyebabkan versi lama tetap terkunci oleh ketergantungan. 3. Tindakan seterusnya & langkah pemeriksaan Visualisasi kesan: Mulakan dengan menjalankan cargo tree -i crypto-bigint atau cargo audit untuk mengesahkan bagaimana ketergantungan ini masuk ke projek anda (contoh: alloy -> k256). Pantau pembaruan hulu: Amati PR peningkatan dari pihak k256 dan alloy untuk pembaruan patch. Pertimbangkan workaround: Jika tindakan segera diperlukan, pertimbangkan penggantian paksa ketergantungan melalui [patch.crates-io] dalam Cargo.toml. Diperkirakan akan ada jeda masa sebelum pembaikan ini merambat keseluruhan ekosistem Rust/Web3. Pengguna stak yang terjejas sangat disarankan untuk memantau perilaku pohon ketergantungan mereka. ▼ Advisory RustSec https://t.co/FJSYIOHwtH #Rust #RustLang #Web3 #Alloy #Ethereum #Security #Kriptografi
