러스트(Rust) 생태계에서 널리 쓰이는 크레이트 3종이 공급망 공격을 받은 것으로 보고되면서 개발자 PC와 CI 환경 오염 위험이 제기됐다. 이번 공격은 솔라나(Solana) 생태계와도 의존성 경로가 연결된 것으로 지목됐다.
소켓(Socket)과 스텝시큐리티(StepSecurity)는 보고서에서 arrayref 0.3.10, internment 0.8.7, append-only-vec 0.1.9가 영향을 받았다고 밝혔다. 우블록체인(WuBlockchain) X 계정도 슬로우미스트(SlowMist), 소켓, 스텝시큐리티 등 보안 연구진 보고를 인용해 같은 내용을 전했다.
보안업체들은 악성 릴리스가 정상 크레이트 proc-macro2를 가장한 proc-macro1 의존성을 추가했고, 해당 의존성의 빌드 스크립트가 카고(Cargo) 빌드 과정에서 원격 페이로드를 내려받아 실행하도록 설계됐다고 분석했다. 단순히 영향을 받은 의존성을 컴파일하는 것만으로 개발자 장비나 CI 호스트가 침해될 수 있다는 설명이다.
러스트 보안팀은 악성 릴리스를 제거하고 해당 유지관리자 계정을 예방 차원에서 잠갔다고 밝혔다. 소켓은 러스트 보안팀이 유지관리자의 악의적 행위보다는 유지관리자 기기나 crates.io 배포 자격 증명 침해 가능성을 보고 있다고 전했다.
<저작권자 ⓒ TokenPost, 무단전재 및 재배포 금지>
많이 본 기사