CVE-2022-46176 in cargo
Tóm tắt
Bởi VulDB • 29/05/2026
Cargo là một trình quản lý gói cho Rust. Nhóm Phản hồi Bảo mật Rust (Rust Security Response WG) đã được thông báo rằng Cargo không thực hiện xác minh khóa máy chủ SSH khi sao chép các chỉ mục và phụ thuộc thông qua SSH. Một kẻ tấn công có thể khai thác lỗ hổng này để thực hiện các cuộc tấn công man-in-the-middle (MITM). Lỗ hổng này đã được gán mã CVE-2022-46176. Tất cả các phiên bản Rust chứa Cargo trước phiên bản 1.66.1 đều dễ bị tổn thương. Lưu ý rằng ngay cả khi bạn không sử dụng SSH một cách rõ ràng cho các chỉ mục registry thay thế hoặc các phụ thuộc crate, bạn vẫn có thể bị ảnh hưởng bởi lỗ hổng này nếu bạn đã cấu hình git để thay thế các kết nối HTTPS đến GitHub bằng SSH (thông qua cài đặt [`url..insteadOf`][1] của git), vì điều đó sẽ khiến bạn sao chép chỉ mục crates.io thông qua SSH. Rust 1.66.1 sẽ đảm bảo rằng Cargo kiểm tra khóa máy chủ SSH và hủy kết nối nếu khóa công khai của máy chủ chưa được tin cậy. Chúng tôi khuyến nghị mọi người nâng cấp ngay khi có thể.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.