Cargo Audit

Définition

Cargo Audit est l'outil officiel de l'écosystème Rust pour la détection de vulnérabilités de sécurité dans les dépendances Rust gérées par Cargo (le gestionnaire de paquets Rust). cargo audit consulte la Rust Security Advisory Database (RustSec — rustsec.org), une base de données communautaire des avis de sécurité publiés pour les crates Rust (bibliothèques Rust sur crates.io), et compare les versions des dépendances de votre projet (définies dans Cargo.lock) avec les versions affectées par des vulnérabilités connues. cargo audit est maintenu par le Rust Security Working Group et est considéré comme une pratique de base obligatoire pour les projets Rust en production. La RustSec Advisory Database couvre les vulnérabilités découvertes dans les crates Rust populaires, incluant des CVEs avec identifiant officiel et des advisories spécifiques Rust (RUSTSEC-XXXX-XXXX) pour les problèmes identifiés avant leur attribution de CVE. L'intégration de cargo audit dans les pipelines CI est une pratique de Shift-Left Security standard pour les projets Rust : l'ajout d'une étape cargo audit --deny warnings dans le pipeline bloque le build si des vulnérabilités sont détectées dans les dépendances. Des fichiers audit.toml permettent de configurer des exceptions pour des advisories spécifiques (avec justification et date d'expiration), similairement aux mécanismes d'ignorance dans d'autres outils SCA. cargo audit se complète avec cargo deny (qui vérifie en plus les licences des dépendances, les sources autorisées, et les dépendances en doublon), cargo outdated (identification des dépendances non mises à jour), et cargo geiger (identification de l'utilisation de code unsafe dans les dépendances).