Rustの脆弱性情報まとめ

2026年に公表されたもののうち、Rust本体（Cargo）と、よく使われるクレートで確かめておきたいものです。米CISAのKEV（悪用が確認された脆弱性の一覧、10月30日版）には、Rust本体・クレートの項目は見当たりませんでした。[1]

このほか、8月20日（日本時間16時15分ごろ）にarrayref 0.3.10が悪意のある依存を含む形で公開され、約86分後に削除されました。Rust公式は、手元のキャッシュに該当のクレートがあるかをfindで確かめ、見つかれば侵害された可能性のある環境として調べるよう案内しています。[8]

Rustには長期サポートの系列がなく、安全性の更新を受けられるのは最新の安定版だけです。[9] 安定版は6週間ごとに出ます。[10]11月1日時点の最新は、10月15日公開の1.99.1です。[11]

Rustは実行環境を持たず、コンパイラと標準ライブラリはビルドのときに使われます。そのため本体の更新が効くのは、ビルドに使う端末・CIの環境です。OSの配布するRustは、そのOSの提供元の案内で修正の取り込みを確かめます。

定番はRustSecのデータベースを使うcargo auditです。Cargo.lockを調べます。[12]

cargo install cargo-audit --locked
cargo audit

RustSecには、11月1日時点でrust-opensslの2026年の8件と、zipのCVE-2026-115905の記録がありません。[13] GitHub Advisory Databaseも参照するOSV-Scannerを合わせて使うと、この差を埋められます。[14]

osv-scanner scan -L Cargo.lock

ビルド済みのバイナリはcargo audit binで調べます。cargo auditableで作ったバイナリなら依存の一覧が埋め込まれていて正確に調べられます。そうでないバイナリでは一部しか分からず、OpenSSLのような埋め込みのCのコードは見落とします。[12]

cargo install cargo-auditable --locked
cargo auditable build --release
cargo audit bin target/release/<バイナリ名>

1. Cargo.lockを正にする：実際に使われる版はCargo.tomlではなくCargo.lockで決まります。cargo tree -i opensslで、どの依存が引き込んでいるかを確かめ、cargo update -p opensslで上げます。
2. 取り下げられた版は残る：tokio 1.54.0は取り下げられましたが、既存のCargo.lockに書かれた版はそのまま使われます。[15] cargo updateで上げ、lockファイルの差分を確かめます。
3. 本番のバイナリを作り直す：Rustの依存はバイナリに静的に組み込まれるため、lockファイルを直しても、再ビルドして配備するまで本番は変わりません。コンテナでは、動いているイメージのバイナリをcargo audit binで調べます。
4. ビルド環境の版：rust-toolchain.tomlやCIのイメージで古い版を固定していると、Cargoの脆弱性が残ります。cargo --versionをCIの記録で確かめます。
5. Cのライブラリ：opensslクレートは、vendored機能を使わない場合はOSのOpenSSLに結び付くため、クレートとは別にOSのOpenSSLの更新も確かめます。