'n Kwetsbaarheid (CVE-2026-115905) is in die zip-rs-biblioteek ontdek, geskryf in Rust en ongeveer 10 miljoen keer per week afgelaai. Hierdie kwesbaarheid laat die skep van oënskynlik onskadelike argiewe toe, maar wanneer dit uitgepak word, word onverwante lêers onttrek. Lêers kan in 'n argief buite die "Sentrale Gids"-struktuur geplaas word, wat veroorsaak dat die lêerlys dieselfde inhoud vertoon, maar onverwante lêers word onttrek wanneer dit uitgepak word met behulp van die ZipStreamReader API. Die probleem is 'n ernstigheidsvlak van 10 uit 10 toegeken. Die kwesbaarheid is in zip-rs 9.0.5 reggestel.
Die kwesbaarheid word veroorsaak deur die gebruik van verskillende opskrifte tydens ewekansige argieftoegang met behulp van die ZipArchive API en tydens stroomdata-onttrekking met behulp van die ZipStreamReader API. Die ZipArchive-hanteerder maak staat op die CDFH (Central Directory File Header) opskrif, terwyl ZipStreamReader die LFH (Local File Header) opskrif prioritiseer wanneer lêers onttrek word, sonder om duplikaatmetadata te sinkroniseer.
Die kwesbaarheid kan gebruik word om posfilters, antivirus-skandeerders en ander sekuriteitstelsels te omseil. 'n Aanvaller kan 'n dokument of beeld in die sigbare gedeelte van 'n argief plaas en 'n uitvoerbare lêer wat kwaadwillige kode bevat in die verborge gedeelte. Hierdie uitvoerbare lêer sal ongemerk deur antivirusprogrammatuur bly, maar sal op skyf gestoor word wanneer dit deur die gebruiker uitgepak word. Voorbeelde sluit in aanvalle op mikrodienste, SaaS-platforms en houer-isolasiestelsels, waar die uitpak van onskadelike argiewe (soos stylblaaie, tekslêers of beelde) in gidse wat werkprojekte bevat, skrifte en uitvoerbare lêers kan oorskryf.
Nog 'n kwesbaarheid (CVE-2026-96889) word gevind in die librsvg-biblioteek, ontwikkel deur die GNOME-projek in Rust. Die biblioteek word in GTK- en GNOME-toepassings gebruik vir die weergawe van SVG, en is ook ingesluit in die gewilde sharp NPM-pakket, wat 80 miljoen keer per week afgelaai word en deur byna 11 000 projekte as 'n afhanklikheid gebruik word. Die kwesbaarheid maak voorsiening vir persoonlike kode-uitvoering wanneer spesiaal vervaardigde SVG-beelde verwerk word. Die probleem is opgelos in librsvg-weergawes 2.56.6, 2.60.3, 2.62.4 en 2.63.1, sowel as in die sharp NPM-pakket 0.35.5. Onder die betrokke projekte was die PeerTube-platform (die afhanklikheid is opgedateer in vandag se vrystelling van PeerTube 8.3.2).
Om XML-opmaak wat in SVG-lêers gebruik word, te ontleed, gebruik librsvg funksies van die libxml2 C-biblioteek. Die kwesbaarheid ontstaan omdat geneste XML Xincludes in SVG-lêers, wat duplikaat-elemente met herhaalde name insluit, geheuetoegang veroorsaak nadat dit vrygestel is. Die ongeluk vind plaas omdat librsvg geheue vrymaak vir XML-elemente wat steeds deur die libxml2-ontleder gebruik word.
Bron: opennet.ru
