#crates.io

恶意 Rust 库 arrayref 在构建时运行负载：编译器也成了攻击入口

据 SafeDep 的分析 报道，Rust crate arrayref 的 0.3.10 版本被发现带入恶意依赖 proc-macro1。真正执行下载和运行负载的不是 arrayref 的宏代码，而是依赖包里的 build.rs。只要项目重新解析依赖并完成编译，恶意代码就可能在程序运行前执行。