Rust 关键漏洞允许通过恶意 WebP 图像实现远程代码执行

Khan安全团队

2026年8月22日 13:53
广东

在小说阅读器读本章

去阅读

Rust webp crate 中已披露一处关键安全漏洞，该漏洞可能允许攻击者在易受攻击的应用处理特制 WebP 图像时实现远程代码执行。

\* 该漏洞被追踪为 RUSTSEC-2026-0260

\* 该问题影响 Rust webp crate，该 crate 提供了对 Google libwebp 库的绑定

\* 根据 RustSec 公告，受影响的版本包含内存安全漏洞，该漏洞可在处理恶意制作的 WebP 内容时被触发

\* 因此，接受或自动处理不受信任 WebP 图像的应用可能因此暴露，而无需受害者有意执行恶意文件

\* 成功利用可能导致内存损坏，并在受影响应用上下文中实现任意代码执行

\* 该漏洞特别适用于图像处理服务、Web 应用、后端管道以及其他自动处理用户提供图像的系统

\* 使用受影响 Rust 包的开发者应审查其依赖树，并尽快升级到修补版本

分析师说明：图像处理库代表了一个吸引人的攻击面，因为恶意内容可以跨越安全边界，同时看起来像普通的媒体文件。当易受攻击的解析器在自动化后端服务中运行时，利用可能在人类查看图像之前发生。

对于 Rust 环境，这也提醒我们，语言级别的内存安全并不能自动消除通过不安全代码或原生库依赖引入的内存损坏漏洞。