毎朝 7:00 更新メールで受け取る
security トップ　／　言語別　／　Rust
言語別crates.io

Rustの脆弱性　全4件

Rust2026.10.30高

zip クレートの展開で、symlink を使って展開先の外にファイルを書き込まれる（ほか DoS 2件）

zip　9.0.0 より前（展開先外への書き込みは 7.2.0 以降、symlink のメモリ枯渇は 1.3.0 以降、legacy-zip の DoS は 5.1.0 以降）　→　9.0.0

やること　9.0.0 以降へ更新します。すぐ更新できない場合は、信頼できない ZIP を ZipArchive::extract で展開しないでください。

GHSA-hjqx-j4rw-g7xv・CVE-2026-115908・GHSA-q7v9-x93c-xqv3・CVE-2026-115909・GHSA-9hj8-73fh-9963・CVE-2026-115907読む
Rust2026.10.29重大

zip クレートで、読み方によって中身の違うアーカイブを作られ、検査をすり抜けてファイルを上書きされる

zip　9.0.4 以前　→　9.0.5

やること　9.0.5 へ更新します。すぐ更新できない場合は、検査と展開で同じ読み取り方式（ZipArchive か ZipStreamReader のどちらか一方）を使うようにしてください。

GHSA-m665-v7pm-7grj・CVE-2026-115905読む
Rust2026.10.29重大

Wasmtime の aarch64 版で、細工した Wasm モジュールにサンドボックスを脱出される

wasmtime　36.0.18 以前 / 37.0.0〜48.0.6 / 49.0.0〜49.0.3　→　36.0.19 / 48.0.7 / 49.0.4

やること　使っている系列に合わせて 36.0.19、48.0.7、49.0.4 のいずれかへ更新します。信頼できない Wasm モジュールを aarch64 上で実行している場合は特に優先してください。

GHSA-mghf-wjfp-p5xm・CVE-2026-115893読む
Rust2026.10.25重大

Wasmtime の Cranelift でミスコンパイルが起き、細工した Wasm モジュールにサンドボックスを抜けられる

wasmtime　36.0.19 未満 / 37.0.0 以上 43.0.0 未満　→　36.0.19 / 43.0.0

やること　36 系は 36.0.19 へ、それ以外は 43.0.0 以降へ更新します。43 では SSA 値のインデックスが u32 全体を使い、上限を超えたら検査で止まるよう変更されています。信頼できない Wasm モジュールを実行している環境は優先して対応してください。

GHSA-897f-g5gm-fmxm・CVE-2026-115889読む
メールで受け取る毎朝 7:00

その日の重大な脆弱性を、言語ごとに朝いちばんに受信箱へ。

登録後に確認メールが届きます。メール内のリンクを押すと配信が始まります。配信はいつでも各メールの末尾から停止できます。無料です。