🚨 حمله زنجیره تأمین به Rustسه نسخه‌ی مخرب از crateهای arrayref، internment و append-only-vec در ۲۰ آگوست منتشر و کمتر از ۲ ساعت بعد حذف شدند.مهاجم با دسترسی به حساب maintainer، dependency جعلی proc-macro1 را اضافه کرده بود. این dependency هنگام cargo build، cargo check یا cargo test یک payload مخرب را دانلود و اجرا می‌کرد.این بدافزار می‌توانست روی Linux، macOS و Windows اجرا شود و قابلیت‌هایی مثل سرقت credential مرورگر و ایجاد persistence داشت.فعلاً اگر از arrayref استفاده می‌کنید، نسخه‌ی 0.3.9 یا پایین‌تر را نگه دارید و cache مربوط به Cargo را هم بررسی کنید.این حمله یک نمونه‌ی جدی از Supply Chain Attack در اکوسیستم Rust است.@NABEGHEHA@NABEGHEHA