Question 1

bytes crate의 정수 오버플로 취약점(RUSTSEC-2026-0007)을 수정하는 방법은?

Accepted Answer

bytes crate를 버전 1.11.1 이상으로 업그레이드하세요. 이 취약점은 릴리스 빌드에서 버전 1.2.1부터 1.11.0까지 영향을 미치며, BytesMut::reserve 내부의 unchecked addition으로 인해 발생합니다. 즉시 업그레이드가 불가능한 경우, Cargo 프로필을 구성하여 overflow checks를 활성화(예: overflow-checks = true)하여 임시 완화 조치를 취할 수 있지만, 이는 성능에 영향을 미칩니다. 업데이트를 위해 권고 GHSA-434x-w66q-qw3r을 추적하세요.

Question 2

왜 `curl -I`는 존재하는 rustypaste 파일에 대해 404를 반환하는 반면 일반 다운로드는 정상적으로 작동할까요?

Accepted Answer

`curl -I`는 HTTP `HEAD` 요청을 전송합니다. Rustypaste의 파일 제공 엔드포인트는 `GET` 요청을 처리하며, 파일이 존재하더라도 `HEAD` 요청에는 `404`를 반환합니다. 이를 우회하려면 헤더만 표시하면서 `GET` 요청을 강제하세요:

```sh
curl -X GET -I http://127.0.0.1:8000/lUfQuT7L.png
```

또는 일반적인 `GET` 요청으로 상태 코드를 확인할 수 있습니다:

```sh
curl -sS -o /dev/null -w '%{http_code}
' http://127.0.0.1:8000/lUfQuT7L.png
```

이렇게 하면 `200`이 반환되어야 합니다. 서버 측 수정을 통해 엔드포인트가 `HEAD` 요청에도 `200`을 반환하도록 할 수 있습니다.

Question 3

Rust time 크레이트에서 스택 소진을 통한 서비스 거부인 RUSTSEC-2026-0009 해결 방법

Accepted Answer

`time` 크레이트를 `0.3.47` 버전 이상으로 업그레이드하세요. 이 버전은 재귀 깊이 제한을 추가하고 스택을 소진하는 대신 오류를 반환합니다. `cargo update -p time`을 실행하고 `Cargo.lock`이 `time >=0.3.47`을 사용하는지 확인하세요. `0.3.6` 이전 버전은 영향을 받지 않습니다. 즉시 업그레이드가 불가능한 경우, 스택 사용량이 입력 길이에 따라 증가하므로 RFC 2822 파싱에 전달되는 사용자 제공 입력의 길이를 제한하세요.

Question 4

webpki-roots에 대한 RUSTSEC-2026-0381 cargo audit 실패를 해결하는 방법(신뢰 해제된 emSign 루트 인증서)?

Accepted Answer

webpki-roots를 버전 1.0.10 이상으로 업그레이드하세요. 이 버전은 중간 개인 키가 공개되어 침해당한 emSign ECC Root CA - G3 루트를 제거합니다. cargo update -p webpki-roots를 실행하여 Cargo.lock에서 버전을 올린 다음, cargo tree -i webpki-roots로 확인하고(>= 1.0.10이 표시되어야 함) cargo audit을 다시 실행하세요. 0.26.x 호환성 패키지에 의존하는 경우: webpki-roots 0.26.11에는 독립적인 트러스트 스토어가 없고 1.x 상위 의존성에서 루트를 재수출하므로, 해당 상위 의존성이 1.0.10 이상으로 해석되도록 해야 합니다(예: cargo update -p webpki-roots@1.0.9). 0.26.11이 설치되어 있어도 상위 1.x 버전이 오래되면 여전히 취약합니다. 일반적으로 이 작업은 자신의 Cargo.toml을 변경하는 대신 rustls-webpki/reqwest/tokio-rustls와 같은 의존 패키지의 잠금 파일 항목을 전이적으로 업데이트해야 한다는 점에 유의하세요.

Question 5

tokio::time::Interval(Tokio v1.54.0)의 RUSTSEC-2026-0384 레이스 컨디션을 해결하는 방법은?

Accepted Answer

Tokio v1.54.0에는 `Interval::poll_tick`(`.tick().await` 포함)과 멀티스레드 런타임의 time driver 사이에 race condition이 존재하여, 데이터 레이스, use-after-free, assertion 패닉 및 힙 손상을 유발할 수 있습니다. `Interval`만 영향을 받으며 `Sleep`과 `Timeout`은 안전합니다. tokio >=1.54.0의 패치 릴리스인 1.54.1로 업그레이드하여 수정하세요: `cargo update -p tokio`를 실행하거나 Cargo.toml에서 `tokio = "1.54.1"`로 설정한 후, `cargo tree -i tokio`로 확인하세요. 또는 <1.54.0 버전으로 다운그레이드할 수 있습니다(예: `tokio = "1.53"`). 참고: v1.54.0은 crates.io에서 yank 처리되었으므로, 새로 빌드하는 경우 해당 버전으로 resolve되지 않습니다. 이 advisory를 감지하려면 CI에 `cargo audit`을 추가하세요.

rustypaste

주요 기능

할 수 없는 것

사용 사례

태그

시작하기

유사한 프로젝트