• [^] # Re: Pas de solution ?

    Posté par . En réponse au lien Exfiltration de données via des macros Rust. Évalué à 5. Dernière modification le 15 mai 2021 à 20:44.

    D'après ce que j'ai pu comprendre, c'est un peu plus fourbe que ça. Les macros peuvent faire ce qu'elles veulent, comme par exemple générer des structures.

    Donc pour faire de la résolution correcte, il est nécessaire d'executer certaines macros. Or, elles peuvent aussi ouvrir des connexions (pour récupérer un wdsl par exemple) et lire des fichiers.

    Bref, envoyer les clés ssh de l'utilisateur à la lecture du code du projet, ça va vite...

    Je suppose que l'outil principal pour faire de l'analyse via language server protocol, rust analyzer, est celui qui est "fautif" dans ce cas-ci.
    Donc, vim, emacs, et autres qui reposent sur lui sont aussi vulnérables.

    Une solution consisterait à exécuter rust-analyzer dans un container avec ce dont il a besoin. Il me semble que pour vscode, c'est en cours de dev.

    Maintenant, il n'est pas impossible que d'autres langages soient impactés (java par exemple)

    Merci de prendre le commentaire ci-dessus avec: un peu de recul, le premier degré, et si possible le second !