Rust Blog
·
Cargo安全公告（CVE-2026-5223）
内容提要
Rust安全响应团队发现Cargo在处理来自第三方注册表的crate tarballs中的符号链接时存在漏洞（CVE-2026-5223），可能导致恶意crate覆盖同一注册表中其他crate的源代码。使用crates.io的用户不受影响，因为该平台禁止上传包含符号链接的crate。Rust 1.96.0将于2026年5月28日发布，更新Cargo以拒绝提取任何符号链接。建议无法升级的用户审查注册表内容并配置拒绝符号链接。
关键要点
-
Rust安全响应团队发现Cargo在处理来自第三方注册表的crate tarballs中的符号链接时存在漏洞（CVE-2026-5223）。
-
该漏洞允许恶意crate覆盖同一注册表中其他crate的源代码，严重性为中等。
-
使用crates.io的用户不受影响，因为该平台禁止上传包含符号链接的crate。
-
Rust 1.96.0将于2026年5月28日发布，更新Cargo以拒绝提取任何符号链接。
-
建议无法升级的用户审查注册表内容并配置拒绝符号链接。
-
所有在Rust 1.96.0之前发布的Cargo版本都受到影响。
延伸解读
漏洞影响范围
CVE-2026-5223漏洞主要影响使用第三方注册表的Cargo用户，允许恶意crate覆盖同一注册表中其他crate的源代码。相比之下，使用crates.io的用户不受影响，因为该平台禁止上传包含符号链接的crate。这一差异强调了选择可靠注册表的重要性。
升级的重要性
Rust 1.96.0将在2026年5月28日发布，更新Cargo以拒绝提取任何符号链接。对于无法升级的用户，建议审查注册表内容并配置拒绝符号链接，以降低潜在风险。及时更新软件版本是确保安全的有效措施。
安全审计的必要性
由于所有在Rust 1.96.0之前发布的Cargo版本都受到影响，用户应定期进行安全审计，检查注册表中是否存在符号链接。这不仅能防止潜在的安全漏洞，还能提高整体项目的安全性和稳定性。
延伸问答
CVE-2026-5223漏洞的主要影响是什么？
该漏洞允许恶意crate覆盖同一注册表中其他crate的源代码，严重性为中等。
哪些用户不受CVE-2026-5223漏洞的影响？
使用crates.io的用户不受影响，因为该平台禁止上传包含符号链接的crate。
Rust 1.96.0版本将于何时发布？
Rust 1.96.0将于2026年5月28日发布。
如果无法升级到Rust 1.96.0，用户应该怎么做？
建议用户审查注册表内容并配置拒绝符号链接。
Cargo是如何处理crate tarballs中的符号链接的？
Cargo在处理来自第三方注册表的crate tarballs时错误地处理了符号链接，导致安全漏洞。
CVE-2026-5223漏洞的严重性如何评估？
该漏洞的严重性被评估为中等，主要影响使用第三方注册表的用户。
