crypto-bigint adlı Rust kriptografik hesaplama kütüphanesinde, zamanlama saldırısı (yan kanal saldırısı) ile ilişkili bir zafiyet (RUSTSEC-2026-0387) bildirildi. Sadece “güncelleme yapmakla çözülür” şeklinde kalmadan, Alloy gibi ana Web3/EVM yığınlarını kullanan ürünler doğrudan etkilenmektedir. Bu nedenle durumu netleştirmek ve dikkat çekmek amacıyla paylaşım yapmaktayız. 1. Zafiyet Özeti Hedef kütüphane: crypto-bigint (büyük tamsayılar için sabit boyutlu aritmetik kütüphanesi) Sorun: Çıkarma ve Montgomery çarpma gibi iç işlemlerde, derleyici optimizasyonları nedeniyle koşullu dallanmalar meydana gelmekte ve işleme süresinde girdi verisine bağlı farklılıklar ortaya çıkmaktadır. Risk: Saldırganlar, milisaniye/mikrosaniye düzeyindeki yürütme sürelerini hassas bir şekilde ölçerek gizli anahtarlar gibi hassas bilgileri tahmin edebilir veya geri kazanabilir (zamanlama saldırısı). 2. Neden hemen “güncellemek mümkün değil”? crypto-bigint’in kendisi için düzeltme sürümü (v0.7.6) yayınlandı, ancak üst düzey kütüphanelerin bağımlılıkları nedeniyle güncellemeler engellenmektedir. EVM/Ethereum çevresinde yaygın olarak kullanılan alloy, k256 v0.13 adlı kriptografik kütüphaneye bağımlıdır. Ancak şu anda k256 v0.13, crypto-bigint v0.7.6’ya uyum sağlamamaktadır (veya yayımlandı beklenmektedir). Bu nedenle projelerde yalnızca cargo update komutunu çalıştırmak yeterli değildir; bağımlılık kilitlenmesi nedeniyle eski sürümler kalıcı olarak korunmaktadır. 3. Gelecek Adımlar ve Kontrol Prosedürü Etkinin Görselleştirilmesi: Önce cargo tree -i crypto-bigint veya cargo audit komutlarını çalıştırarak projenizdeki bağımlılık yollarını (alloy -> k256 vb.) kontrol edin. Üst düzey güncellemeleri takip etme: k256 ve alloy tarafında yapılacak bump PR’leri (patch sürüm yayınları) izleyin. Çözüm yollarını araştırın: Acil müdahale gerekiyorsa, Cargo.toml içindeki [patch.crates-io] bölümünü kullanarak bağımlılıkları zorla değiştirmek gibi çözüm yollarını test edin. Rust/Web3 ekosisteminde tamamen düzeltmenin yayılması bir miktar gecikmeyle gerçekleşecektir. Bu yığınları kullananlar, bağımlılık ağaçlarının davranışını takip etmeyi şiddetle öneririz. ▼ RustSec Uyarısı https://t.co/FJSYIOHwtH #Rust #RustLang #Web3 #Alloy #Ethereum #Security #Kriptografi