JVNDB-2026-017906

The Rust Programming LanguageのCargoにおけるUNIX Symbolic Link のフォローに関する脆弱性

Cargoはサードパーティのレジストリからダウンロードしたクレートのtarball内のシンボリックリンクを誤って処理しており、悪意のあるクレートが同じレジストリ内の他のクレートのソースコードを上書きできる可能性がありました。この脆弱性の深刻度はサードパーティのレジストリのユーザーにとって中程度です。crates.ioのユーザーには影響がありません。crates.ioではシンボリックリンクを含むクレートのアップロードを禁止しているためです。

The Rust Programming Language

• Cargo 1.96.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Google

• Google Groups : CVE-2026-5223: Crates in third party registries can override the cached source of other crates

The Rust Foundation

• Rust Blog : Security Advisory for Cargo (CVE-2026-5223) | Rust Blog

1. UNIX Symbolic Link のフォロー(CWE-61) [その他]

1. CVE-2026-5223

1. National Vulnerability Database (NVD) : CVE-2026-5223
2. 関連文書 : Fix CVE-2026-5222 and CVE-2026-5223 by emilyalbini  Pull Request #17031  rust-lang/cargo  GitHub

• [2026年06月04日]
    掲載