Rust 1.98.0 릴리스: 지난 3개월 동안 53만 번 다운로드된 arrayref 패키지의 취약점 발견

모질라 프로젝트에서 개발되었지만 현재는 독립 비영리 단체인 Rust Foundation의 후원으로 개발되고 있는 Rust 1.98 프로그래밍 언어가 출시되었습니다. 이 언어는 메모리 안전성에 중점을 두고 있으며, 가비지 컬렉터와 런타임을 사용하지 않으면서도 높은 병렬성을 구현할 수 있는 도구를 제공합니다(런타임은 기본 초기화 및 표준 라이브러리 유지 관리로 축소됨).

Rust의 메모리 관리 방식은 포인터 조작 오류를 방지하고, 해제된 메모리에 접근하거나, 널 포인터를 역참조하거나, 버퍼 오버런을 일으키는 등 저수준 메모리 관리에서 발생하는 문제를 예방하도록 설계되었습니다. 본 프로젝트는 라이브러리 배포, 빌드 간소화 및 종속성 관리를 위해 Cargo 패키지 관리자를 개발하고 있습니다. 라이브러리 호스팅을 위해 crates.io 저장소를 관리하고 있습니다.

메모리 안전은 컴파일 시간에 참조 확인, 개체 소유권 추적, 개체 수명(범위) 추적 및 코드 실행 중 메모리 액세스의 정확성 평가를 통해 Rust에서 제공됩니다. Rust는 또한 정수 오버플로에 대한 보호 기능을 제공하고, 사용하기 전에 변수 값의 필수 초기화가 필요하며, 표준 라이브러리에서 오류를 더 잘 처리하고, 기본적으로 불변 참조 및 변수 개념을 적용하고, 강력한 정적 유형 지정을 제공하여 논리적 오류를 최소화합니다.

주요 혁신:

• f32 및 f64 부동 소수점 타입의 경우, 덧셈, 뺄셈, 곱셈, 나눗셈, 나머지 연산에 대한 대수적 방법이 구현되어 있으며, C/C++ 컴파일러의 "-ffast-math" 옵션과 유사한 최적화를 제공합니다. 이러한 방법을 통해 루프 벡터화와 같은 최적화를 위해 필요한 경우 연산 순서를 변경할 수 있습니다. 예를 들어, 일반적인 덧셈으로 "a + b + c + d"를 계산할 때 컴파일러는 항상 "(a + b) + c) + d" 순서로 계산을 수행하지만, algebraic_add 방법을 사용하면 표현식을 "(a + b) + (c + d)"로 묶어 SIMD 명령어를 사용하여 "(a + b)"와 "(c + d)"를 병렬로 실행할 수 있습니다. 대수적 방법을 사용하는 단점은 계산 결과가 비결정적이며 오차 범위 내에서 달라질 수 있다는 것입니다.
• 모든 기본 정수형에는 숫자를 문자열로 변환하는 내장 "format_into" 메서드가 있으며, 이는 itoa 패키지 대신 사용할 수 있습니다. 매개변수로 NumBuffer 버퍼가 전달됩니다. 이 버퍼는 사용된 타입의 모든 값을 십진수 형태로 기록하기에 충분한 크기를 보장합니다. 출력은 형식화된 문자열 &str이며, 해당 문자열의 수명은 버퍼에 한정됩니다.
• ManuallyDrop 하네스와 Box 스마트 포인터 간의 상호 작용으로 인해 더 이상 정의되지 않은 동작이 발생하지 않습니다.
• API의 새로운 부분이 안정화된 특성의 메서드 및 구현을 포함하여 안정적인 범주로 이동되었습니다.
  • str::substr_range
  • [T]::하위 슬라이스 범위
  • core::fmt::NumBuffer
  • <{integer}>::format_into
  • std::process::CommandArgs에 대한 전송/동기화
  • {fN}::대수적 추가
  • {fN}::대수적_하위
  • {fN}::대수적_멀티플
  • {fN}::대수적_div
  • {fN}::대수적_렘
  • NonZero<{integer}>::from_str_radix
  • 문자열::from_utf16le
  • 문자열::from_utf16le_lossy
  • 문자열::from_utf16be
  • 문자열::from_utf16be_lossy
  • [T]::strip_circumfix
  • str::strip_circumfix
  • 원자 ::from_mut
  • 원자 ::get_mut_slice
  • 원자 ::from_mut_slice
  • std::range::legacy
• thumbv7a-none-eabi, thumbv7a-none-eabihf, thumbv7r-none-eabi, thumbv7r-none-eabihf 및 thumbv8r-none-eabihf 대상 플랫폼은 빌드 보장은 제공하지만 테스트 스위트 통과는 보장하지 않는 2단계 지원으로 변경되었습니다.
• powerpc64-unknown-linux-gnuelfv2 및 aarch64-unknown-linux-pauthtest 플랫폼에 대한 지원이 추가되었으며, 이제 레벨 3 지원을 제공합니다. 레벨 3에는 기본 지원이 포함되지만 자동화된 테스트, 공식 빌드 릴리스 또는 빌드 검증은 포함되지 않습니다.

또한, 지난 90일 동안 5,300만 회 이상 다운로드되었고 403개의 패키지에서 종속성으로 사용되는 인기 크레이트 패키지인 arrayref가 공격받았습니다. 공격자들은 악성 코드가 포함된 새로운 패키지(proc-macro1, proc-macro-en, aovine, arone, aronenao, tinymember)를 crates.io 저장소에 게시했습니다. 이후 arrayref 0.3.10, internment 0.8.7, append-only-vec 0.1.9의 새로운 릴리스가 저장소에 게시되었으며, 각 릴리스에는 악성 proc-macro1 패키지가 종속성으로 추가되었습니다. 악성 버전의 arrayref 패키지는 8월 20일 오전 10시 15분(MSK)에 게시되어 오전 11시 41분까지 활성화되어 있다가 crates.io 관리자에 의해 삭제되었습니다.

arrayref 패키지 관리자에게 아직 연락이 닿지 않아 상황을 명확히 파악하지 못했지만, 관리자의 자격 증명이 공격자에게 탈취된 것으로 추정됩니다. proc-macro1 패키지의 빌드 스크립트에서 악의적인 변경 사항이 발견되었으며, 이 변경 사항은 외부 디렉터리의 실행 파일을 로드하는 역할을 했습니다. 서버다운로드한 파일은 유닉스 시스템에서는 /tmp/rust-setup에 저장되고, Windows — %TEMP%\rust-setup.ps1 또는 %TEMP%\rust-setup-launch.vbs.

출처 : opennet.ru