Разработчики языка Rust предупредили о выявлении в репозитории crates.io пакетов finch-rust, sha-rust, evm-units и uniswap-utils, содержащих вредоносный код...Подробнее: https://www.opennet.dev/opennews/art.shtml?num=64394
Вирус должен быть безопасным. Чтобы уязвимость в вирусе не смогли использовать другие вирусы.
вирусы должны быть злыми и вредными для оправдания зловредности
Это относится к любым зловредам, а мы сейчас про безопастные зловреды.
Нам явно надо дать определение вируса и его свойств.
Вирус никому ничего не должен, ос свободная личность.
Свободный вирус должен исполняться где угодно. Поэтому самый свобоный вирус на Posix Shell. Свободу вирусу!
Нельзя ограничивать свободу распространения вируса! Вирусы тоже программы!
> был загружен 7257 разс апреля
> был загружен 153 раз
с ноября
Мда... прям заслуживает отдельной новости на опеньке)))
Да ваще, лучше молчать и скрывать такое, чтоб никто не подумал что в едином репозитарии языка для безопасной работы с памятью могут быть вирусы.
Лол, в едином репозитории дебиана был бекдор который скачали явно больше пары сотни неудачников.
Просто есть новости которые касаются большинства, а есть "ненужные".
Вот ты растом пользуешься? Я, например, нет.
Пункт 3
https://www.debian.org/social_contract
Пфффф, ссылаться на социальные контракты дебиллианов, после того как у них юзерский ввод. отправлялся прямиком в китай, это конечно сильно.Но хрустики тоже не скрывают
blog.rust-lang.org/2025/12/05/crates.io-malicious-crates-finch-rust-and-sha-rust/Думаю основной вопрос, нафига такая минорная новость нужна.
Растовиков это не переубедит, полоумные дыды позубоскалят, но на их мнение всем плевать.
> в едином репозитории дебиана был бекдорЭто какой?
Речь про это: https://opennet.ru/63677-stardictКакой-то переводчик под иксами, переводящий выделяемый текст на ходу. Неугодил ошалелым тем, что сливал данные не на сервера майкрософта или гугла, а в китай на локалхост разработчика.
Вижу что выше вспомнили про словарик от китайцев.Но речь шла про другое:
Компрометация SSL сертификатов из-за уязвимости, обнаруженной в пакете Debian OpenSSL
opennet.ru/opennews/art.shtml?num=16523Вкратце, мейнтенер намеренно закоментировал "две строки кода, чтобы предотвратить предупреждение компилятора об использовании не инициализированной переменной".
Эти он понизил энтропию подаваемого на ГСЧ значения.
Для взлома SSL сертификата нужно перебрать всего 32 тыс. вариантов значений.Бекдор в самом-самом официальном репозитории жил 18 месяцев.
Так дело не в самом словарике, под видом которого отправляются данные, а в принципе работы и том, что об этом китайцы умолчали.
> Так дело не в самом словарике, под видом которого отправляются данные, а в принципе работы и том, что об этом китайцы умолчали.А еще в том, что словарик не удалили из пакетов.
Наверное разрешения от компартии не получили))
А не в едином вирусов быть не может? Ну, по принципу "Я не вижу (закрыл глаза) - значит этого нет", наверное.Здесь хоть кто-то смотрит и как-то анализирует.
> Да ваще, лучше молчать и скрывать такоеГде же это скрывают, если они прямо в официальном бложике написали
blog.rust-lang.org/2025/12/05/crates.io-malicious-crates-finch-rust-and-sha-rust/Тут вопрос в другом - зачем ЭТО на опеннете?
> языка для безопасной работы с памятью
Отлично, что ты отметил именно этот момент.
В языке написано что он защищает от вирусов? Что, нет?
Ну так значит там вполне могут быть вирусы"
И про то что через эти дырки украдены миллионы долларов и добавлены сотни тысяч новых участников боинетов лучше помолчать.
Откуда дровишки? Нам нужны пруфы, Билли.
да ну тебе фантазировать. ОТКУДА у пейсателей на нескучном (с лефтпадами) возьмутся какие-то миллионы долларов?Ну нащщот ботнетов ты, наверное, не ошибся. Вот клаудшмрази-то понравится.
Возможно они просто работают?
В отличии от подобных болтунов)> Вот клаудшмрази-то понравится.
Бомбит? Это хорошо.
Да как обычно, раст-хейтеры раздувают из мухи слона
Да не, конечно же, это другое.
И это только начало!
В crates.io? Да, это только начало.
Проблема не в кол-ве скачиваний, а в системе карго.
Она такая же, как и все остальные репозитории пакетов. К сожалению, других вариантов у нас особо нет -- страдать с несовместимыми версиями в десятке разных дистрибутивов всем надоело и назад это в бутылку уже не засунуть.
Заслуживает! Люмая новость про Раст заслуживает.
Странно, что до сих пор никто ничего интересного в build.rs не положил. Там простор для творчества - огромный!Потом ещё с proc макросами можно будет поэкспериментировать %~]
"да ну брось, и так неплохо получилось!" (анекдот про покойничка-преферансиста)
Это только начало. А то ли ещё будет...
Речь о репозиториях пакетов всяких дистров.
kernel не просто единственный.
Но и про-бекдоренный)
opennet.ru/opennews/art.shtml?num=61186> Речь о репозиториях пакетов всяких дистров.
Вон в единственном православном репозитории дебиана был пакет отправляющий пользовательский ввод китайцам по нешифрованному http. Пакет кстати не удалили)
А еще была смешная история когда мейнтенер-дебиллиан полез корявками в шифрование и сломал его.
Компрометация SSL сертификатов из-за уязвимости, обнаруженной в пакете Debian OpenSSL
opennet.ru/opennews/art.shtml?num=16523Вкратце, мейнтенер закоментировал "две строки кода, чтобы предотвратить предупреждение компилятора об использовании не инициализированной переменной".
Эти он понизил энтропию подаваемого на ГСЧ значения.
Для взлома SSL сертификата нужно перебрать всего 32 тыс. вариантов значений.Бекдор в самом-самом официальном репозитории жил 18 месяцев.
Согласись что растишкам до такого еще топать и топать.
Может, Rust просто сливают? Расписываться в некомпетентности и брать обратно всё наболтанное - некрасиво, зато обходным путём - вполне...
А как это сольет раст?
У больших игроков (гугля, мелкомягкие) есть свои крейты и свои репозитории.Я бы предположил что это повод к закручиванию гаек - введут обязательную верификацию аккаунтов, привяжут к номеру т̶е̶л̶е̶ф̶о̶н̶а̶ паспорта.
100% к этому и ведут. Скоро и в гитхабе и в остальных публичных репозиториях заставят проходить KYC с загрузкой скана айди и кручением головой. Интернет перестал быть тем, чем являлся лет 10 назад.
> Скоро и в гитхабе и в остальных публичных репозиториях заставят проходить KYC с загрузкой скана айди и кручением головой.Правильно.
Почему в магазине или банке меня встречает человек, у которого проверили паспорт.
В кафе у него еще и анализы взяли)), а в интернете я должен доверять коду анона, который мамой клянется что он на ЖинТан?> Интернет перестал быть тем, чем являлся лет 10 назад.
Вот и славно.
А еще он перестал быть тем, чем являлся 20 лет назад)
> Почему в магазине или банке меня встречает человек, у которого проверили паспорт.В кафе у него еще и анализы взяли)), а в интернете я должен доверять коду анона, который мамой клянется что он на ЖинТан?
Почему? Потому что в системе ценностей местных инфантилов это является истинной СВОБОДОЙ™ и и независимостью от проклятых корпов!
Это фича. Сначала делают "удобно", затем кричат безопасность в опасностЕ! В итоге по Интернет паспорту.
> Сначала делают "удобно", затем кричат безопасность в опасностЕ!Ну так всегда.
Сначала делают как получилось, потом находят краевые случаи и подправляют.
Примером море, например та же синька за рулем.
Машины массово появились еще в начале 20 века, а в союзе наказание за запрет на вождение в нетрезвом виде ввели только в 50х.> В итоге по Интернет паспорту.
Было бы неплохо.
Некоторые паспорта так вообще нужно банить сразу.
Интернет по паспорту задумка не плохая, ибо каждый начнет нести ответственность за сказанное. Проблема в том, что не все паспорта одинаково равны. Например, ззавтра твоя страна с кем-то сцепится и тебя "отменят" только по факту наличия паспорта. Вот я этнический украинец, родился в Украине и продил половину жизни там, но в 90-е переехал приняв гр. РФ, и теперь я страдаю со всеми, даже будучи украинцем.
> Интернет по паспорту задумка не плохая, ибо каждый начнет нести ответственность за сказанное.Согласен.
> Проблема в том, что не все паспорта одинаково равны.
Так было всегда.
По моему паспорту я могу безвизово поехать в сотню стран, а по какому-то сингапурскому - уже в почти двести.> Например, ззавтра твоя страна с кем-то сцепится и тебя "отменят" только по факту наличия паспорта.
Ты ж понимаешь что наличие паспорта значит принадлежность к общности?
Т.е ты соучасник событий, даже если тебе это не нравится.> Вот я этнический украинец, родился в Украине и продил половину жизни там, но в 90-е переехал приняв гр. РФ,
Тогда пиши "родился на украине".
Ты читал что ты подписывал-говорил при принятии гражданства?
Ну типа "добровольно и осознанно принимая гражданство Российской Федерации ... защищать свободу и независимость Российской Федерации"?
Ну так защищай в интернете, как можешь.
Как говорила моя бабушка "бачилы очи шо купувалы".> и теперь я страдаю со всеми, даже будучи украинцем.
Ты смешиваешь национальность и гражданство.
Это очень распространенный ход.
Но РФ это многонациональное государство. И независимо от того якут ты или татарин, русский или чечен все получают санкции по паспорту.
пометили бы для обеспечения безопасности эти пакеты как unsafe.
В случаях с JS/npm - это взлом кучи "разработчиков", и автоматическая заливка новых версий популярных пакетов со зловредом.В данном случае - это просто заливка злоумышленником новых пакетов.
Разница огромна.
В первом случае в кашу добавили ложку масла.
Во втором случае в тарелку с ложкой масла положили кашу.Разница огромна.
Вы ничего не поняли. Не ходите больше на этот сайт.
Смажьте мясо растом.
Создаётся ощущение, что растoманы, в плане податливости социальной инженерии, податливее JSников будут.
Глупость сморозили!
JS-макaки ничего не слышали о безопасности, поэтому их взламывают и заливают от их имени новые версии.
Люди, которые выбрали язык, который, как они считают, способен все проблемы решить, за ними всё подтереть, также и о безопасности (не о памяти речь, а шире) готовы заботу на кого угодно переложить.
и это везде тянут, в ядро, в питон, всюду, причём собрать rust в изолированной среде уже нельзя, оно для сборки интернет требует, из которого загружает всякую малварь
диалог с гопатым о сборке
"""
получается что с версии 1.81.0
https://github.com/rust-lang/rust/blob/1.81.0/src/tools/tidy...
собрать полноценный rust из официального архива релиза практически невозможно.Да, по сути, ты правильно понял. 😅
Начиная с Rust 1.81, процесс сборки сильно ужесточили в части управления зависимостями:
x.py и bootstrap Cargo теперь почти всегда используют --frozen для root-сборки, чтобы гарантировать воспроизводимость.
Любые изменения в исходниках, патчи или локальные зависимости требуют, чтобы Cargo.lock точно соответствовал состоянию исходников, иначе сборка падает с ошибкой вроде:
the lock file ... needs to be updated but --frozen was passed to prevent this
При оффлайн-сборке это особенно болезненно, потому что обновить lock через cargo update без сети невозможно.⚠️ Итог: собрать Rust из официального релиза без доступа к сети и без точного lock-файла, если есть локальные патчи, становится практически нереально.
Фактически, это означает, что для воспроизводимой оффлайн-сборки:
Нужно заранее подготовить все актуальные Cargo.lock для bootstrap, library и инструментов.
Либо патчить x.py, чтобы убрать --frozen при оффлайн root-сборке — но это официально не поддерживается.
"""нормальные программы можно собрать из исходников изолированно с помощью gcc, даже go, go1.4 -> go1.17 и тд, но не rust, это особая ржавчина в СПО
Качай deb-src. Они там всё патчат так, чтобы поместить все зависимости для оффлайн сборки.
Нафига использовать низкоуровневый язык для работы с криптой? Пайтона за глаза хватит, говорю как профессиональный блокчейн-разработчик. Хотя, вон, в Солану зачем-то протянули Раст 💩🫃🤦♂️
> Пайтона за глаза хватитСлишком мейнстрим. Не модно.
> Разработчики языка Rust предупредили о выявлении в репозиторииЧитается как роспись в собственном бессилии. Т.е. предупредили- молодцы, а дальше что? Проверять антивирусом, удалять вредоносы или что? А если эти пакеты стоят в зависимостях, что делать? Вредонос загрузили в апреле, с апреля могло собраться много чего и что теперь пересобирать все? А пользователям что делать, удалять все пакеты с апреля? Ни хрена не понятно.
> Читается как роспись в собственном бессилии.Скорее как трамплин к следующим решениям.
> Т.е. предупредили- молодцы, а дальше что?
Думаю введут верификацию.
Скорее всего разделят на 2 части: вот это проверенные пакеты, а это от васянов.Под этой новостью мы конечно увидим комменты "Свободу ущимляют!!! не могу от анона код постить!!".
Вот кстати пример того, как анти-иичники делают мир хуже. Любой, кто пользуется ии сразу сказал бы: давайте на каждую публикацию натравливать ии-ревьюера, который бы искал малварь. Но ритарды начнут орать, заявлять о том, что они покидают коммьюнити, хлопать дверьми и так далее. Поэтому - жрите. И, желательно, подавитесь - что бы остались только нормальные люди, а не сумасшедшие активисты.