በሩስት ቤተ-መጻሕፍት ውስጥ ያሉ ተጋላጭነቶች ዚፕ-አርኤስ እና ሊብሮችቪጂ

ተጋላጭነት (CVE-2026-115905) በዚፕ-rs ቤተ-መጽሐፍት ውስጥ ተገኝቷል፣ በሩስት የተጻፈ እና በሳምንት ወደ 10 ሚሊዮን ጊዜ ያህል ወርዷል። ይህ ተጋላጭነት ምንም ጉዳት የሌላቸው የሚመስሉ ማህደሮችን ለመፍጠር ያስችላል፣ ነገር ግን ሲታሸጉ፣ ያልተዛመዱ ፋይሎች ይወጣሉ። ፋይሎች ከ"Central Directory" መዋቅር ውጭ ባለ ማህደር ውስጥ ሊቀመጡ ይችላሉ፣ ይህም የፋይል ዝርዝሩ ተመሳሳይ ይዘቶችን እንዲያሳይ ያደርጋል፣ ነገር ግን ያልተዛመዱ ፋይሎች በዚፕStreamReader API በመጠቀም ሲታሸጉ ይወጣሉ። ችግሩ ከ10 10 የክብደት ደረጃ ተመድቧል። ተጋላጭነቱ በዚፕ-rs 9.0.5 ውስጥ ተስተካክሏል።

ተጋላጭነቱ የሚከሰተው በዚፕአርቺቭ ኤፒአይ በመጠቀም የዘፈቀደ የማህደር መዳረሻ ወቅት እና የዚፕStreamReader ኤፒአይን በመጠቀም የውሂብ ማውጣት ሲደረግ የተለያዩ ራስጌዎችን በመጠቀም ነው። የዚፕአርቺቭ ተቆጣጣሪ በሲዲኤፍኤች (Central Directory File Header) ራስጌ ላይ የተመሰረተ ሲሆን፣ ዚፕStreamReader ደግሞ የተባዛ ሜታዳታ ሳያመሳስል ፋይሎችን ሲያወጣ የLFH (Local File Header) ራስጌን ቅድሚያ ይሰጣል።

ተጋላጭነቱ የፖስታ ማጣሪያዎችን፣ የጸረ-ቫይረስ ስካነሮችን እና ሌሎች የደህንነት ስርዓቶችን ለማለፍ ጥቅም ላይ ሊውል ይችላል። አንድ አጥቂ ሰነድ ወይም ምስል በማህደር ውስጥ በሚታየው ክፍል ውስጥ ማስቀመጥ እና ተንኮል አዘል ኮድ የያዘ አስፈፃሚ ፋይል በተደበቀው ክፍል ውስጥ ማስቀመጥ ይችላል። ይህ አስፈፃሚ ፋይል በጸረ-ቫይረስ ሶፍትዌር ሳይታወቅ ይቀራል ነገር ግን በተጠቃሚው ሲፈታ ወደ ዲስክ ይቀመጣል። ምሳሌዎች በማይክሮሰርቪስ፣ በ SaaS መድረኮች እና በኮንቴይነር ማግለል ስርዓቶች ላይ የሚደርሱ ጥቃቶችን ያካትታሉ፣ እዚያም ምንም ጉዳት የሌላቸውን ማህደሮች (እንደ የቅጥ ወረቀቶች፣ የጽሑፍ ፋይሎች ወይም ምስሎች ያሉ) ወደ የስራ ፕሮጀክቶች የያዙ ማውጫዎች መክፈት ስክሪፕቶችን እና አስፈፃሚዎችን ሊተካ ይችላል።

ሌላው ተጋላጭነት (CVE-2026-96889) በ Rust ውስጥ ባለው የGNOME ፕሮጀክት በተዘጋጀው የlibrsvg ቤተ-መጽሐፍት ውስጥ ይገኛል። ቤተ-መጽሐፍቱ SVGን ለማሳየት በGTK እና በGNOME መተግበሪያዎች ውስጥ ጥቅም ላይ ይውላል፣ እና እንዲሁም በሳምንት 80 ሚሊዮን ጊዜ የሚወርድ እና ወደ 11 የሚጠጉ ፕሮጀክቶች እንደ ጥገኝነት ጥቅም ላይ ይውላል። ተጋላጭነቱ በልዩ ሁኔታ የተነደፉ የSVG ምስሎችን ሲያስኬዱ ብጁ የኮድ አፈፃፀምን ያስችላል። ችግሩ በlibrsvg ስሪቶች 2.56.6፣ 2.60.3፣ 2.62.4 እና 2.63.1 እንዲሁም በሹል NPM ጥቅል 0.35.5 ውስጥ ተስተካክሏል። ከተጎዱት ፕሮጀክቶች መካከል የPeerTube መድረክ ይገኝበታል (ጥገኝነቱ በዛሬው የPeerTube 8.3.2 ልቀት ላይ ዘምኗል)።

በSVG ፋይሎች ውስጥ ጥቅም ላይ የዋለውን የXML ማርከፕ ለመተንተን፣ librsvg ከlibxml2 C ቤተ-መጽሐፍት የተገኙ ተግባራትን ይጠቀማል። ተጋላጭነቱ የሚከሰተው የተጠቀለለው XML X በSVG ፋይሎች ውስጥ ስለሚካተት፣ እነዚህም በተደጋጋሚ ስሞች የተባዙ አባሎችን ያካተቱ፣ ከተለቀቀ በኋላ የማህደረ ትውስታ መዳረሻ ያስከትላሉ። ብልሽቱ የሚከሰተው librsvg አሁንም በlibxml2 ተንታኝ ጥቅም ላይ ለዋሉ የXML አባሎች ማህደረ ትውስታን ስለሚያስለቅቅ ነው።

ምንጭ: opennet.ru