安全策略

报告

安全是 Rust 的核心原则之一，为此，我们希望确保 Rust 有一个安全的实现。感谢您抽出时间负责任地披露您发现的任何问题。

Rust 发行版中的所有安全漏洞都应通过电子邮件报告给 security@rust-lang.org。此邮件列表会发送给一个小型安全团队。您的邮件将在 24 小时内得到确认，并在 48 小时内收到更详细的回复，说明处理您报告的后续步骤。如果您愿意，可以使用我们的公钥加密您的报告。此密钥也可在 MIT 的密钥服务器上找到，并在下方重现。

此电子邮件地址会收到大量垃圾邮件，因此请务必使用描述性的主题行，以免您的报告被遗漏。在对您的报告进行初步回复后，安全团队将努力让您了解修复进展和完整公告的情况。根据 RFPolicy 的建议，这些更新将至少每五天发送一次。实际上，这更可能是每 24-48 小时一次。

如果您在 48 小时内没有收到我们对您邮件的回复，或者过去五天内没有收到安全团队的音讯，您可以按顺序采取以下几个步骤：

直接联系两位安全协调员
- Josh Stone
- Pietro Albini
在内部论坛上发帖

请注意，讨论论坛是公共区域。在这些地方升级问题时，请不要讨论您的具体问题。只需说明您正在尝试联系安全团队的成员即可。

发送邮件至 security@rust-lang.org

范围

Rust 安全响应工作组 (Security Response WG) 处理 Rust 项目维护和发布的所有内容的漏洞报告

以下 GitHub 组织及其托管的所有仓库和 CI 流水线
以下域名及其所有子域名以及托管在其中的所有应用程序
- rust-lang.org（参见下方例外）
- rustup.rs
- crates.io（参见下方例外）
- docs.rs
- rfcbot.rs
在 crates.io 上由 @rust-lang-owner 拥有的所有 crate。
由 rust-lang 在 Visual Studio Marketplace 上发布的所有扩展。
由 rust-lang 在 Open VSX 注册表上发布的所有扩展。

以下事项**不在我们的范围之内**

internals.rust-lang.org 和 users.rust-lang.org 域名。请遵循Discourse 的安全策略处理它们。
在 crates.io 上发布的第三方包。请遵循crates.io 的安全策略处理它们。

报告漏洞时，请注意以下几点：

除非另有说明，否则 Rust 工具链的所有组件（rustc、Cargo、rust-analyzer 或通过 rustup 发布的任何其他工具）都假定用户的源代码和依赖项是完全受信任的、经过审查且不包含恶意代码。我们不认为编译或分析恶意项目或依赖项造成的攻击是安全漏洞。
Rust 编译器或语言中的健全性问题不会自动归类为安全漏洞，但如果报告，将进行个案分析。
regex crate 提供关于不受信任模式的保证。我们仅在 regex crate 内部花费的时间不是线性的，并且 RegexBuilder 中的限制方法都无法阻止攻击的情况下，才将使用不受信任模式导致的拒绝服务视为安全漏洞。

如果您不确定某事是否属于我们的范围，请与我们联系，我们将提供指导。

披露策略

Rust 项目有一个 5 步披露流程。

收到安全报告并分配给主要处理人。此人将协调修复和发布流程。
确认问题并确定所有受影响的版本列表。
审计代码以发现任何潜在的类似问题。
为所有仍在维护中的版本准备修复程序。这些修复程序不会提交到公共仓库，而是在本地保留，直到发布公告。
在禁令解除日期，会向 Rust 安全邮件列表发送一份公告副本。更改将被推送到公共仓库，并将新的构建部署到 rust-lang.org。在通知邮件列表后的 6 小时内，咨询公告副本将在 Rust 博客上发布。

此过程可能需要一些时间，尤其是在需要与其他项目维护者协调时。我们将尽一切努力尽快处理此错误，但重要的是我们遵循上述发布流程，以确保披露得到一致处理。

接收安全更新

接收所有安全公告的最佳方式是订阅 Rust 安全公告邮件列表（或者发送电子邮件到 rustlang-security-announcements+subscribe@googlegroups.com）。此邮件列表流量非常低，并在禁令解除时立即收到公共通知。

我们会在禁令解除前 72 小时向 distros@openwall 发布漏洞公告，以便 Linux 发行版可以更新其软件包。

明文 PGP 密钥