最重要★★★★★Lobsters
Rust crates.io に供給チェーン攻撃、arrayref 他複数クレート改ざん・即座に確認を
30秒で把握
- 1arrayref など 3 クレートの最新版が改ざん・悪意クレート proc-macro1 に依存注入・2026 年 8 月 20 日に削除
- 2arrayref@0.3.10 が 86 分間、append-only-vec@0.1.9 が 107 分間オンライン・著者のアカウント認証情報が危険にさらされた状態
- 3ユーザーは ~/.cargo/registry/cache から該当バージョン (arrayref@0.3.10 / internment@0.8.7 / append-only-vec@0.1.9) の存在を確認・削除・再ビルドが必須
要約
Rust Security Response Team は 2026 年 8 月 20 日、人気クレート arrayref が改ざんされ悪意あるクレート proc-macro1 に依存させられたサプライチェーン攻撃を確認した。arrayref、internment、append-only-vec の最新バージョン計 3 つが削除され、歴史バージョンは復旧・ロック処理が施された。proc-macro1 他 5 つの攻撃用クレートは完全削除された。arrayref の著者のアカウント認証情報が危険にさらされていると判断される。ユーザーは ~/.cargo/registry/cache を検査し、悪意バージョン (arrayref@0.3.10、append-only-vec@0.1.9、internment@0.8.7、proc-macro* 各種) の導入状況を確認する必要がある。
あなたへの影響
Rust を本番運用するチームは直ちに ~/.cargo/registry/cache から該当クレート (特に arrayref@0.3.10・append-only-vec@0.1.9・internment@0.8.7) の存在を確認し。
推奨：導入していた場合は Cargo.lock / Cargo.toml を検査して当該バージョンの依存を削除・再ビルドしたうえで、本番環境への影響がないか (実行バイナリ内の悪意ペイロード有無) を緊急確認すべき。