Rust crateの「onering」が侵害されソースコード窃取を実行

【なぜ重要か】 ダウンロード数18,000超の人気Rust crateが侵害され、ビルド時にソースコードが自動的に窃取される攻撃が発見されました。npmやPyPIに続き、Rustエコシステムでもサプライチェーン攻撃が本格化しており、日本の開発チームも影響を受ける可能性があります。

【ポイント】

• 「onering」crate v1.4.1に悪意のあるbuild.rsファイルが追加され、依存関係に含めてビルドするだけで攻撃コードが実行される
• 攻撃コードはプロジェクトのルートディレクトリを特定し、git diffでソースコードの変更履歴を取得して外部サーバーに送信
• 窃取したデータをSentryテレメトリーイベントに偽装してPOSTすることで、通常のクラッシュレポートに見せかけて検出を回避
• GitHubリポジトリも侵害されているため、crates.ioではなくGitから直接取得しても安全ではない
• 従来の認証情報窃取ではなく、ソースコード窃取に特化した新しい攻撃手法

【まとめ】 Rustでも本格的なサプライチェーン攻撃が始まっており、依存関係の管理とビルド時の監視体制を強化する必要があります。該当バージョンを使用している場合は即座に削除し、セキュリティスキャンを実行してください。