CVE-2022-46176 in cargo
要約
〜によって VulDB • 2026年05月28日
CargoはRustのパッケージマネージャーです。Rust Security Response WGは、CargoがSSH経由でインデックスや依存関係をクローンする際にSSHホストキーの検証を行っていないことを通知されました。攻撃者はこれを利用して、中間者攻撃（MITM）を実行できる可能性があります。この脆弱性にはCVE-2022-46176が割り当てられています。Cargoを含むRustの1.66.1より前のすべてのバージョンが影響を受けます。代替レジストリインデックスやクレートの依存関係にSSHを明示的に使用していない場合でも、gitの設定（[`url..insteadOf`][1]）を通じてGitHubへのHTTPS接続をSSHに置き換えている場合、crates.ioインデックスがSSH経由でクローンされるため、この脆弱性の影響を受ける可能性があります。Rust 1.66.1では、CargoがSSHホストキーを確認し、サーバーの公開鍵がすでに信頼されていない場合は接続を中止することが保証されます。できるだけ早くアップグレードすることを推奨します。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.