CVE-2022-46176 in cargo
Sumário
de VulDB • 28/05/2026
Cargo é um gerenciador de pacotes para Rust. O Grupo de Resposta a Segurança do Rust (Rust Security Response WG) foi notificado de que o Cargo não realizava a verificação da chave de host SSH ao clonar índices e dependências via SSH. Um atacante poderia explorar isso para realizar ataques de homem-no-meio (MITM). Esta vulnerabilidade foi atribuída ao CVE-2022-46176. Todas as versões do Rust que contêm o Cargo anteriores à 1.66.1 são vulneráveis. Observe que, mesmo que você não use explicitamente SSH para índices de registros alternativos ou dependências de crates, você pode ser afetado por esta vulnerabilidade se tiver configurado o git para substituir conexões HTTPS ao GitHub por SSH (por meio da configuração [`url..insteadOf`][1] do git), pois isso faria com que você clonasse o índice do crates.io via SSH. O Rust 1.66.1 garantirá que o Cargo verifique a chave de host SSH e interrompa a conexão se a chave pública do servidor não for previamente confiável. Recomendamos a todos que atualizem o mais rápido possível.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.