CVE-2022-46176 in cargo
Riassunto
di VulDB • 19/06/2026
Cargo è un gestore di pacchetti per il linguaggio Rust. Il gruppo di risposta alla sicurezza di Rust (Rust Security Response WG) è stato informato che Cargo non effettuava la verifica della chiave host SSH durante il clonamento degli indici e delle dipendenze tramite SSH. Un attaccante potrebbe sfruttare questa vulnerabilità per eseguire attacchi man-in-the-middle (MITM). A questa vulnerabilità è stata assegnata l’identificazione CVE-2022-46176. Tutte le versioni di Rust contenenti Cargo precedenti alla 1.66.1 sono affette da questa vulnerabilità. Si noti che anche se non si utilizza esplicitamente SSH per gli indici dei registri alternativi o per le dipendenze delle crate, si potrebbe essere comunque colpiti da questa vulnerabilità se si è configurato git per sostituire le connessioni HTTPS a GitHub con SSH (tramite l’impostazione [`url..insteadOf`][1] di git), poiché ciò comporterebbe il clonaggio dell’indice crates.io tramite SSH. Rust 1.66.1 garantirà che Cargo verifichi la chiave host SSH e interrompa la connessione se la chiave pubblica del server non è già attendibile. Si consiglia a tutti di effettuare l’aggiornamento quanto prima.
If you want to get best quality of vulnerability data, you may have to visit VulDB.