У криптографічному крейті Rust crypto-bigint виявлено вразливість (RUSTSEC-2026-0387), яка може призвести до атак за часом (атаки через побічні канали). Це не просто питання «оновіть, і все вирішиться» — через безпосередній вплив на продукти, що використовують основні Web3/EVM-стеки, зокрема Alloy, ми ділимося аналізом ситуації та попередженням. 1. Огляд вразливості Об’єкт: crypto-bigint (бібліотека для операцій з фіксованими розмірами великих цілих чисел) Проблема: У внутрішніх операціях, таких як віднімання та множення Монтгомері, через оптимізацію компілятора можуть виникати умовні розгалуження, що призводить до вхідно-залежних розбіжностей у часі виконання. Ризик: Зловмисник може за допомогою точного вимірювання часу виконання на мілі- або мікросекундному рівні спробувати вгадати або відновити конфіденційні дані, такі як приватні ключі (атака за часом). 2. Чому зараз «не можна просто оновити»? Хоча для crypto-bigint вже випущено виправлену версію (v0.7.6), залежності у верхньому рівні перешкоджають її використанню. Alloy, який широко використовується в EVM/ethereum, залежить від криптографічного крейту k256 v0.13. Проте наразі k256 v0.13 ще не оновлений до crypto-bigint v0.7.6 (або очікує випуску). Тому просте виконання cargo update не вирішує проблему — через блокування залежностей залишаються старі версії. 3. Подальші дії та перевірки Виявлення впливу: Спочатку виконайте cargo tree -i crypto-bigint або cargo audit, щоб визначити, якими шляхами (наприклад, alloy -> k256) залежності входять у ваш проект. Слідкуйте за оновленнями верхнього рівня: Стежте за PR з підняттям версій у k256 та alloy. Розгляньте обхідні рішення: Якщо необхідно діяти негайно, перевірте можливості примусового заміщення залежностей через [patch.crates-io] у Cargo.toml. Очікується певна затримка перед тим, як виправлення пошириться по всьому Rust/Web3-екосистемам. Користувачам, що експлуатують цей стек, дуже рекомендується стежити за поведінкою дерев залежностей. ▼ RustSec Advisory https://t.co/FJSYIOHwtH #Rust #RustLang #Web3 #Alloy #Ethereum #Security #Криптографія
