Un mainteneur à plein temps financé pour l'équipe Cargo

La fondation Rust annonce le financement d'un poste de mainteneur à temps plein dédié à Cargo (le gestionnaire de paquets de Rust), occupé par Scott Schafer. L'équipe Cargo peinait à suivre sa charge de maintenance suite au départ de plusieurs membres ; ce financement, soutenu notamment par AWS, vise à soulager l'équipe sur au moins 12 mois.

Mon avis : Ça montre une limite qu'on voit souvent dans l'open source : un outil massivement utilisé (Cargo est au cœur de tout l'écosystème Rust) peut reposer sur très peu de mainteneurs bénévoles ou sous-financés. Le fait qu'une entreprise comme AWS mette de l'argent dessus est révélateur : leur infra dépend probablement de Cargo, donc financer sa maintenance est presque un investissement défensif pour eux. Je trouve ce modèle (financement externe d'un mainteneur dédié) plus sain qu'attendre du bénévolat pur pour un projet aussi critique.

Source →

Faille de sécurité : fuite de secrets via le cache GitHub Actions avec Miri

L'équipe sécurité de Rust a découvert que l'outil Miri stocke toutes les variables d'environnement dans le dossier target/, qui est ensuite mis en cache par GitHub Actions. Un contributeur malveillant pouvait ainsi accéder à des secrets (tokens, clés) via ce cache. Un correctif limite désormais les variables conservées, et les mainteneurs concernés sont invités à vider leurs caches et à faire tourner leurs secrets.

Mon avis : Cette faille m'intéresse parce qu'elle ne vient pas d'un bug de code classique, mais d'une mauvaise interaction entre deux comportements normaux pris séparément (Miri qui sauvegarde des variables d'env, et GitHub Actions qui met le cache à disposition des PR). C'est un bon rappel que la sécurité CI/CD est souvent négligée par rapport à la sécurité du code applicatif, alors qu'elle donne un accès potentiellement.

Source →

Sortie de Rust 1.81

Rust 1.81 est officiellement disponible. Cette version intègre LLD comme linker par défaut, concrétisant l'annonce du 1er septembre. Cargo, le gestionnaire de paquets de Rust, bénéficie également d'une nouveauté majeure : la prise en charge native de la publication d'espace de travail (workspace), ce qui simplifie la gestion et la publication de projets multi-crates.

Source →

Rust adopte LLD comme nouveau linker par défaut

L'équipe Rust annonce l'adoption de LLD comme linker par défaut pour la prochaine version. Avant ce changement, Rust utilisait le linker natif de chaque OS (Windows, Linux, macOS), ce qui entraînait des comportements différents selon la plateforme. LLD unifie ce comportement, améliore la stabilité et accélère la compilation en travaillant par blocs de code et en éliminant les parties inutiles.

Source →

Pourquoi j'ai choisi Rust comme sujet de veille

J'ai choisi Rust comme sujet de veille car c'est un langage de programmation considéré comme très prometteur par la communauté des développeurs. Orienté performance et sécurité mémoire, Rust est de plus en plus adopté dans des domaines exigeants (systèmes, embarqué, WebAssembly). Pour suivre son évolution j'utilise trois flux RSS sur Feedly : le Rust Blog officiel, Embedded in Rust et This Week in Rust.

Source →