CVE-2022-46176 in cargo
Resumen
por VulDB • 2026-05-13
Cargo es un gestor de paquetes para Rust. El Grupo de Respuesta a la Seguridad de Rust (Rust Security Response WG) fue notificado de que Cargo no realizaba la verificación de la clave de host SSH al clonar índices y dependencias a través de SSH. Un atacante podría explotar esta vulnerabilidad para realizar ataques de intermediario (MITM). Esta vulnerabilidad ha sido asignada con el identificador CVE-2022-46176. Todas las versiones de Rust que incluyen Cargo anteriores a la 1.66.1 son vulnerables. Tenga en cuenta que, incluso si no utiliza SSH explícitamente para índices de registros alternativos o dependencias de crates, podría verse afectado por esta vulnerabilidad si ha configurado git para reemplazar las conexiones HTTPS a GitHub con SSH (mediante la configuración [`url..insteadOf`][1] de git), ya que esto provocaría que se clonara el índice de crates.io a través de SSH. Rust 1.66.1 garantizará que Cargo verifique la clave de host SSH y aborte la conexión si la clave pública del servidor no es de confianza. Se recomienda a todos actualizar lo antes posible.
If you want to get best quality of vulnerability data, you may have to visit VulDB.