تم اكتشاف ثغرة أمنية (CVE-2026-115905) في مكتبة zip-rs، المكتوبة بلغة Rust والتي يتم تحميلها حوالي 10 ملايين مرة أسبوعيًا. تسمح هذه الثغرة بإنشاء ملفات مضغوطة تبدو غير ضارة، ولكن عند فك ضغطها، يتم استخراج ملفات غير ذات صلة. يمكن وضع الملفات في ملف مضغوط خارج بنية "الدليل المركزي"، مما يؤدي إلى عرض قائمة الملفات بنفس المحتويات، ولكن يتم استخراج ملفات غير ذات صلة عند فك الضغط باستخدام واجهة برمجة تطبيقات ZipStreamReader. تم تصنيف هذه المشكلة بمستوى خطورة 10 من 10. تم إصلاح الثغرة الأمنية في الإصدار 9.0.5 من zip-rs.
تنشأ الثغرة الأمنية من استخدام رؤوس مختلفة أثناء الوصول العشوائي إلى الأرشيفات باستخدام واجهة برمجة تطبيقات ZipArchive، وأثناء استخراج البيانات المتدفقة باستخدام واجهة برمجة تطبيقات ZipStreamReader. يعتمد معالج ZipArchive على رأس CDFH (رأس ملف الدليل المركزي)، بينما يعطي ZipStreamReader الأولوية لرأس LFH (رأس الملف المحلي) عند استخراج الملفات، دون مزامنة البيانات الوصفية المكررة.
يمكن استغلال هذه الثغرة الأمنية لتجاوز مرشحات البريد الإلكتروني، وبرامج مكافحة الفيروسات، وأنظمة الأمان الأخرى. يستطيع المهاجم وضع مستند أو صورة في الجزء الظاهر من الأرشيف، ووضع ملف تنفيذي يحتوي على شيفرة خبيثة في الجزء المخفي. لن يكتشف برنامج مكافحة الفيروسات هذا الملف التنفيذي، ولكنه سيُحفظ على القرص عند فك ضغطه من قِبل المستخدم. تشمل الأمثلة الهجمات على الخدمات المصغرة، ومنصات البرمجيات كخدمة (SaaS)، وأنظمة عزل الحاويات، حيث يمكن لفك ضغط أرشيفات غير ضارة (مثل ملفات أنماط CSS، أو ملفات نصية، أو صور) في مجلدات تحتوي على مشاريع عمل أن يستبدل البرامج النصية والملفات التنفيذية.
تم اكتشاف ثغرة أمنية أخرى (CVE-2026-96889) في مكتبة librsvg، المطورة من قِبل مشروع GNOME باستخدام لغة Rust. تُستخدم هذه المكتبة في تطبيقات GTK وGNOME لعرض رسومات SVG، وهي مُضمنة أيضًا في حزمة sharp NPM الشهيرة، التي يتم تحميلها 80 مليون مرة أسبوعيًا، وتُستخدم كمتطلب أساسي في حوالي 11 مشروع. تسمح هذه الثغرة بتنفيذ تعليمات برمجية مُخصصة عند معالجة صور SVG مُصممة خصيصًا. تم إصلاح هذه المشكلة في إصدارات librsvg 2.56.6 و2.60.3 و2.62.4 و2.63.1، بالإضافة إلى حزمة sharp NPM 0.35.5. من بين المشاريع المتأثرة منصة PeerTube (تم تحديث المتطلب الأساسي في الإصدار الحالي من PeerTube 8.3.2).
لتحليل ترميز XML المستخدم في ملفات SVG، تستخدم مكتبة librsvg دوالًا من مكتبة libxml2 المكتوبة بلغة C. تكمن الثغرة الأمنية في أن تضمين عناصر XML المتداخلة (Xincludes) في ملفات SVG، والتي تتضمن عناصر مكررة بأسماء مختلفة، يتسبب في الوصول إلى الذاكرة بعد تحريرها. ويحدث العطل لأن librsvg تُحرر الذاكرة لعناصر XML التي لا يزال محلل libxml2 يستخدمها.
المصدر: opennet.ru
