【Rust日报】2025-10-31 Rust 1.91.0 发布
内容提要
Rust 1.91.0 发布，新增 aarch64-pc-windows-msvc 目标平台为 Tier 1 级别，并稳定化部分 API。同时，发现 tokio-tar 库存在高危漏洞“ TARmageddon”，可能导致远程代码执行，提醒开发者关注逻辑漏洞和无人维护的依赖风险。
关键要点
-
Rust 1.91.0 发布，新增 aarch64-pc-windows-msvc 目标平台为 Tier 1 级别。
-
对从局部变量生成悬垂原始指针的 lint 检查进行了更新。
-
稳定化了一批 API，完整变更内容可查阅官方博客。
-
tempotime 是一个新的日期时间库，具有零依赖、不可变设计、链式调用和时区支持等特性。
-
安全公司 Edera 发现 tokio-tar 库存在高危漏洞 'TARmageddon'，可能导致远程代码执行。
-
该漏洞影响了多个重要项目，CVSS 评分为 8.1，官方漏洞编号为 CVE-2025-62518。
-
潜在攻击途径包括劫持 CI/CD 流水线、注入未授权内容和绕过安全扫描器。
-
原始 tokio-tar crate 长期未维护，建议迁移至仍在维护的分支，如 astral-tokio-tar。
-
事件提醒开发者，Rust 虽能防范内存漏洞，但逻辑漏洞和无人维护的依赖仍是安全隐患。
-
未修复的 tokio-tar crate 下载量超过 500 万次，显示开源供应链风险的规模。
延伸解读
新版本的实用性提升
Rust 1.91.0 的发布标志着 aarch64-pc-windows-msvc 目标平台的升级为 Tier 1 级别，这意味着开发者可以更稳定地在该平台上进行开发。新版本还稳定化了一批 API，提升了开发效率，建议开发者及时更新以利用这些改进。
安全隐患的警示
tokio-tar 库的高危漏洞 'TARmageddon' 提醒开发者关注逻辑漏洞和无人维护的依赖风险。尽管 Rust 语言在内存安全方面表现出色，但开发者仍需警惕其他类型的安全隐患，特别是在使用开源库时，建议定期检查依赖项的维护状态。
迁移建议与风险管理
由于原始 tokio-tar crate 长期未维护，开发者应考虑迁移至仍在维护的分支，如 astral-tokio-tar。这不仅能降低安全风险，还能确保项目的长期稳定性。开发者在选择依赖库时，应优先考虑活跃维护的项目，以减少潜在的安全隐患。
延伸问答
Rust 1.91.0 新增了哪些重要特性？
Rust 1.91.0 新增了 aarch64-pc-windows-msvc 目标平台为 Tier 1 级别，并稳定化了一批 API。
什么是 tokio-tar 库的 TARmageddon 漏洞？
TARmageddon 漏洞是 tokio-tar 库中的高危逻辑漏洞，可能导致远程代码执行，CVSS 评分为 8.1。
开发者如何应对 tokio-tar 的安全漏洞？
开发者应迁移至仍在维护的分支，如 astral-tokio-tar，以避免使用未修复的 tokio-tar crate。
tempotime 库有哪些主要特性？
tempotime 是一个零依赖的日期时间库，具有不可变设计、链式调用和时区支持等特性。
tokio-tar 漏洞对 Rust 生态系统有什么影响？
tokio-tar 漏洞影响了多个重要项目，可能导致攻击者劫持 CI/CD 流水线和注入恶意内容。
Rust 1.91.0 的 lint 检查更新了什么内容？
Rust 1.91.0 更新了对从局部变量生成悬垂原始指针的 lint 检查。
