cargo-audit

Links:

• https://blog.rust-lang.org/inside-rust/2023/09/04/keeping-secure-with-cargo-audit-0.18/
• https://rustsec.org/advisories/
  • https://github.com/RustSec/advisory-db/

Cargo audit - это инструмент, который проверяет зависимости проекта на наличие известных уязвимостей. Он не запускает код, не генерирует тесты и не следит за памятью. Вместо этого он сверяет версии всех библиотек (crates) с базой данных уязвимостей (RustSec Advisory Database).

Установка и запуск

cargo install cargo-audit   # установить один раз
cargo audit                 # проверить проект

Пример вывода:

Crate:         regex
Version:       1.4.0
Title:         Regex panic on crafted input
Severity:      high
Solution:      upgrade to >= 1.5.0

Cargo audit находит только те проблемы, о которых кто-то сообщил и добавил в базу. Он не ищет новые, неизвестные уязвимости.

Какие проблемы находит Cargo Audit?

Интеграция с GitHub Actions

- name: Security audit
  run: |
    cargo install cargo-audit
    cargo audit