Một lỗ hổng bảo mật (RUSTSEC-2026-0387) có thể dẫn đến tấn công thời gian (tấn công kênh phụ) đã được báo cáo trong crate tính toán mã hóa Rust crypto-bigint. Không chỉ đơn thuần là “cập nhật là xong”, mà do ảnh hưởng trực tiếp đến các sản phẩm sử dụng các stack Web3/EVM chính như Alloy, nên chúng tôi chia sẻ để làm rõ tình hình và cảnh báo. 1. Tổng quan về lỗ hổng Crates bị ảnh hưởng: crypto-bigint (thư viện tính toán số nguyên cố định kích thước lớn) Vấn đề: Trong các xử lý nội bộ như phép trừ và phép nhân Montgomery, do ảnh hưởng của tối ưu hóa trình biên dịch, các nhánh điều kiện có thể xuất hiện, gây ra sự khác biệt về thời gian xử lý phụ thuộc vào dữ liệu đầu vào. Rủi ro: Kẻ tấn công có thể đo lường chính xác thời gian thực thi ở mức mili/giây để suy luận hoặc khôi phục thông tin bí mật như khóa riêng (tấn công thời gian). 2. Tại sao hiện tại “không thể cập nhật ngay lập tức”? Mặc dù phiên bản sửa lỗi (v0.7.6) của crypto-bigint đã được phát hành, nhưng các dự án đang bị kẹt do phụ thuộc vào các thư viện cấp trên. Alloy – thư viện được sử dụng rộng rãi trong môi trường EVM/Ethereum – phụ thuộc vào crate mã hóa k256 v0.13. Tuy nhiên, hiện tại k256 v0.13 chưa hỗ trợ nâng cấp lên crypto-bigint v0.7.6 (hoặc đang chờ phát hành). Do đó, chỉ chạy cargo update không đủ để giải quyết vấn đề; cấu trúc phụ thuộc bị khóa khiến phiên bản cũ vẫn được giữ nguyên. 3. Các bước ứng phó và kiểm tra trong tương lai Hiển thị ảnh hưởng: Trước tiên, chạy cargo tree -i crypto-bigint hoặc cargo audit để xác định các tuyến đường phụ thuộc (ví dụ: alloy -> k256) trong dự án của bạn. Theo dõi và giám sát sự cập nhật từ cấp trên: Theo dõi các PR nâng cấp (patch release) từ phía k256 và alloy. Xem xét giải pháp thay thế: Nếu cần hành động ngay, hãy kiểm tra việc sử dụng [patch.crates-io] trong Cargo.toml để thay thế cưỡng chế các phụ thuộc. Dự kiến sẽ có độ trễ nhất định trước khi sửa lỗi lan tỏa toàn bộ hệ sinh thái Rust/Web3. Những người vận hành các stack liên quan được khuyến nghị mạnh mẽ theo dõi hành vi của cây phụ thuộc. ▼ Thông báo RustSec https://t.co/FJSYIOHwtH #Rust #RustLang #Web3 #Alloy #Ethereum #Security #暗号技術
