Foi relatada uma vulnerabilidade (RUSTSEC-2026-0387) no crate de cálculo criptográfico Rust, crypto-bigint, que pode levar a ataques de temporização (ataques de canal lateral). Não se trata apenas de uma simples recomendação de atualização — produtos que adotam stacks principais da Web3/EVM, como o Alloy, são diretamente afetados. Por isso, compartilhamos esta análise e alerta para esclarecer a situação. 1. Visão geral da vulnerabilidade Crate afetado: crypto-bigint (biblioteca de operações de inteiro de tamanho fixo) Problema: Em operações internas como subtração e multiplicação de Montgomery, bifurcações condicionais podem ocorrer devido à otimização do compilador, resultando em variações de tempo de execução dependentes dos dados de entrada. Risco: Atacantes podem medir com precisão tempos de execução em milissegundos ou microssegundos para inferir ou recuperar informações confidenciais, como chaves privadas (ataque de temporização). 2. Por que “não é possível atualizar imediatamente”? Embora uma versão corrigida (v0.7.6) do crypto-bigint já tenha sido lançada, há bloqueios nas dependências de bibliotecas upstream. O Alloy, amplamente utilizado em torno do EVM/Ethereum, depende da biblioteca criptográfica k256 v0.13. Atualmente, a k256 v0.13 ainda não acompanhou a atualização para o crypto-bigint v0.7.6 (ou está aguardando liberação). Assim, simplesmente executar cargo update não resolve o problema — a estrutura de bloqueio das dependências mantém versões antigas. 3. Próximos passos e procedimentos de verificação Visualização do impacto: Execute primeiro cargo tree -i crypto-bigint ou cargo audit para identificar quais caminhos (ex: alloy -> k256) introduzem essa dependência em seu projeto. Monitoramento das atualizações upstream: Acompanhe os PRs de atualização (bump) na k256 e no alloy. Consideração de soluções alternativas: Se for necessário agir imediatamente, verifique a possibilidade de substituir forçadamente as dependências usando [patch.crates-io] no Cargo.toml. É esperado um certo atraso antes que a correção se espalhe por todo o ecossistema Rust/Web3. Recomendamos fortemente que usuários desses stacks monitorem o comportamento de suas árvores de dependência. ▼ Advisory do RustSec https://t.co/FJSYIOHwtH #Rust #RustLang #Web3 #Alloy #Ethereum #Security #Criptografia