Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Cargo 会下载 Rust 项目的依存关系并编译项目。在 Rust 1.60.0 至 1.72 版中，当 Cargo 将 Cargo 功能名称包含在由“cargo build --timings”生成的报告中时，这些名称不会转义。作为依存关系随附的恶意程序包可能会在此处注入几乎任意的 HTML，如果用户随后在某处上传报告，可能导致跨站脚本问题。此漏洞会影响依赖 git、本地路径或备用注册表的依存关系的用户。
    仅依赖 crates.io 的用户不受影响。Rust 1.60.0 引入了“cargo build --timings”（可生成构建过程的不同步骤所花费时间的报告）。它包含每个 crate 的 Cargo 功能列表。在 Rust 1.72 之前的版本中，Cargo 功能名称可以包含几乎任何字符（功能语法中使用的某些字符除外），但自 1.49 起，Rust 将会产生关于这些字符的未来不兼容警告。crates.io 对于有效功能名称的认定要严格得多，并且不允许使用此类功能名称。由于功能名称以非转义方式包含在时序报告中，因此可用于将 Javascript 注入页面。功能名称可能是以下这样的：“features = [<img src='' onerror=alert(0)]”。如果此报告随后被上传到使用凭据的域，则注入的 Javascript 可访问来自网站访问者的资源。Rust 1.72 通过将未来的不兼容警告转换为错误来修复此问题。
    用户在下载程序包时仍应谨慎行事，仅在其项目中包含受信任的依存关系。请注意，即使这些漏洞已修复，但按照设计，Cargo 凭借构建脚本和程序宏，仍允许在构建时间执行任意代码：尽管存在这些漏洞，恶意的依存关系仍将能够造成破坏。 crates.io 具有防止此攻击的服务器端检查，而且 crates.io 上没有利用这些漏洞的程序包。不过，crates.io 用户在选择依存关系时仍需谨慎，因为此处的设计也允许远程代码执行。 (CVE-2023-40030)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞: CVE-2023-40030

medium Nessus 插件 ID 226428

版本 1.5