Zu junge Pakete müssen draußen bleiben: Rust schützt die Lieferkette

Rust-Version 1.100, die am 12. November erscheinen soll, führt eine optionale Cooldown-Phase für Cargo-Abhängigkeiten ein. Das soll verhindern, dass Projekte sich frisch mit Malware verseuchte Pakete ins System holen.

Schadcode, der sich in Paketabhängigkeiten versteckt, hat oft nur eine kurze Lebensdauer von Minuten oder Stunden. Der Entwurf für Version 1.100 von Rust sieht deshalb die Cooldown-Bremse vor, mit der Cargo ganz junge Pakete von Abhängigkeiten nicht installiert. Den zeitlichen Abstand können die Anwenderinnen und Anwender selbst wählen.

Die neue Funktion heißt Minimum Publish Age und tritt bei Versionsauflösungen in Aktion. Zu junge Versionen ignoriert der Resolver, sofern sie nicht schon in Cargo.lock stehen. Stattdessen wählt er eine ältere, ausreichend alte Version desselben Pakets. Gibt es keine passende, bricht die Auflösung mit einem Fehler ab. Erst bei der nächsten Versionsauflösung findet eine erneute Prüfung statt.

Standardmäßig ist kein Mindestalter gesetzt, sodass Anwender die Bremse manuell in .cargo/config.toml eintragen müssen: global-min-publish-age = "7 days". Cargo meldet dann die Pakete, die es ausgelassen hat, und ob es dadurch Probleme mit anderen Abhängigkeiten gibt. Admins können kritische Updates auch gezielt sofort durchlassen:

$ CARGO_RESOLVER_INCOMPATIBLE_PUBLISH_AGE=allow cargo update -p foo

Immer wieder kommt es zu Lieferkettenangriffen, auch das als sehr sicher geltende Rust ist davon nicht verschont. Angreifer laden Pakete mit Schadcode in Repositories oder kompromittieren vorhandene. Hat ein Projekt ein solches Paket eingebunden und installiert automatisch Updates, holt es den Schadcode unvermittelt in die eigene Anwendung.