Rust: 113 bugs en coreutils que el compilador no detectó

La auditoría que reveló 113 vulnerabilidades en Rust

Una auditoría de seguridad realizada por Zellic entre diciembre de 2025 y marzo de 2026 identificó 113 vulnerabilidades en la reimplementación en Rust de GNU coreutils, el conjunto de herramientas fundamentales de Linux que usan millones de servidores diariamente. Para founders que construyen infraestructura crítica o evalúan Rust para sistemas de producción, estos hallazgos exponen una verdad incómoda: Rust previene errores de memoria, pero no te hace invencible.

El 68% de las vulnerabilidades (73 issues) se encontraron en la primera fase enfocada en utilidades de alto riesgo como cp, mv y rm. Lo más relevante: al 22 de abril de 2026, 8 vulnerabilidades TOCTOU (Time-of-Check to Time-of-Use) permanecían abiertas, forzando a Ubuntu 26.04 a mantener las versiones GNU de estas herramientas por precaución.

¿Por qué Rust no detectó estos bugs?

El borrow checker de Rust es extraordinario previniendo buffer overflows y use-after-free, errores que representan aproximadamente el 70% de los CVEs históricos en GNU coreutils original escrito en C. Sin embargo, la auditoría demostró que Rust no protege contra errores lógicos en la interfaz con el sistema operativo.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

Los bugs más críticos encontrados incluyen:

TOCTOU persistentes: Condiciones de carrera entre verificar un estado y usarlo, comunes en operaciones de archivos
Gestión incorrecta de permisos: Validaciones que no consideran todos los escenarios de acceso
UTF-8 vs bytes puros: Tratamiento inconsistente de cadenas que causa comportamientos inesperados
Pánicos que causan DoS: Errores no manejados que colapsan servicios en producción
Diferencias GNU vs Rust: Comportamientos divergentes que rompen scripts existentes

Estos errores ocurren fuera del modelo de seguridad de memoria de Rust. El compilador no puede verificar lógica de negocio, semántica de syscalls o invariantes que dependen del estado del sistema de archivos en tiempo de ejecución.

¿Qué significa esto para tu startup?

Si tu equipo técnico está considerando Rust para infraestructura crítica, servicios de backend de alto rendimiento o herramientas de sistemas, esta auditoría ofrece lecciones prácticas que van más allá del hype tecnológico.

Lección 1: Rust reduce riesgos, no los elimina

La reescritura en Rust eliminó la clase de bugs más peligrosa en C (memory-unsafe), pero expuso vulnerabilidades lógicas igualmente críticas. Para un founder, esto significa que cambiar de lenguaje no es un reemplazo de auditorías de seguridad, tests exhaustivos y diseño cuidadoso.

Lección 2: La interfaz con el SO es tu zona de mayor riesgo

La mayoría de las 113 vulnerabilidades ocurrieron en la frontera entre tu código y el sistema operativo: manejo de archivos, permisos, paths, concurrencia. Si tu startup construye herramientas que interactúan intensivamente con el SO (CLI tools, daemons, servicios de archivos), necesitas estrategias específicas más allá de confiar en el tipo de sistema.

Lección 3: La compatibilidad tiene costo de seguridad

Algunos bugs surgieron por intentar replicar exactamente el comportamiento de GNU coreutils, incluyendo comportamientos cuestionables heredados. Para productos comerciales, a veces es más seguro romper compatibilidad que preservar bugs históricos.

5 acciones concretas para equipos que usan Rust

Basado en los hallazgos de esta auditoría y las mejores prácticas del ecosistema:

Implementa auditorías externas antes de producción: Zellic encontró 113 issues que tests internos no detectaron. Para código crítico, presupuesta auditorías profesionales como parte del roadmap, no como opcional.
Usa cargo-audit y cargo-fuzz en CI/CD: Integra cargo-audit para dependencias y cargo-fuzz para fuzzing continuo. La versión 0.8.0 de uutils/coreutils incorporó la mayoría de fixes gracias a este tipo de herramientas.
Diseña con atomicidad desde el inicio: Para operaciones de archivos, usa std::sync::atomic, file locking robusto y evita chequeos separados de uso. No confíes en que «Rust lo previene».
Maneja explícitamente todos los errores: Los pánicos que causan DoS vienen de errores despreciados o unwrap() en producción. Usa Result consistentemente y define estrategias de fallback.
Documenta diferencias de comportamiento: Si reemplazas herramientas existentes, documenta claramente dónde tu implementación diverge. La transparencia previene bugs en integración.

El impacto en el ecosistema hispanohablante

Para startups de LATAM y España que adoptan Rust, esta auditoría llega en un momento crítico. El lenguaje ha ganado tracción en empresas como Discord, Cloudflare y Amazon para componentes de infraestructura, pero el talento senior en Rust sigue siendo escaso en el mercado hispanohablante.

La buena noticia: los 30 pull requests directos que Zellic contribuyó upstream demuestran que el ecosistema Rust responde rápido a vulnerabilidades. La versión 0.8.0 ya incorpora la mayoría de los fixes de seguridad, y Ubuntu 26.04 la integra progresivamente.

Para founders técnicos: esto valida Rust como opción viable para reemplazar C en herramientas críticas, pero exige madurez en procesos de seguridad. No es el lenguaje lo que hace seguro tu producto, es el rigor con que lo construyes.

Conclusión

La auditoría de GNU coreutils en Rust no es un argumento contra el lenguaje, sino un recordatorio necesario: ninguna herramienta te hace seguro por defecto. Rust elimina categorías enteras de bugs (y eso es invaluable), pero la seguridad real viene de diseño cuidadoso, auditorías continuas y entender dónde están tus límites de confianza.

Para founders evaluando tecnologías: Rust merece consideración seria para sistemas de alto rendimiento, pero presupuesta tiempo y recursos para lo que el compilador no puede verificar por ti. La diferencia entre un producto robusto y uno vulnerable no está en el lenguaje, está en los procesos.