Rust dilində yazılmış və həftədə təxminən 10 milyon dəfə yüklənən zip-rs kitabxanasında bir boşluq (CVE-2026-115905) aşkar edilib. Bu boşluq, zahirən zərərsiz arxivlərin yaradılmasına imkan verir, lakin açıldıqda əlaqəsiz fayllar çıxarılır. Fayllar "Mərkəzi Kataloq" strukturunun xaricindəki bir arxivə yerləşdirilə bilər ki, bu da fayl siyahısının eyni məzmunu göstərməsinə səbəb olur, lakin ZipStreamReader API istifadə edilərək açıldıqda əlaqəsiz fayllar çıxarılır. Problemə 10-dan 10 ciddilik səviyyəsi təyin edilib. Zəiflik zip-rs 9.0.5 versiyasında düzəldilib.
Bu zəiflik, ZipArchive API istifadə edərək təsadüfi arxiv girişi zamanı və ZipStreamReader API istifadə edərək məlumatların çıxarılması zamanı müxtəlif başlıqların istifadəsi nəticəsində yaranır. ZipArchive işleyicisi CDFH (Mərkəzi Kataloq Fayl Başlığı) başlığına əsaslanır, ZipStreamReader isə dublikat metaməlumatları sinxronlaşdırmadan faylları çıxararkən LFH (Yerli Fayl Başlığı) başlığına üstünlük verir.
Bu zəiflik poçt filtrlərini, antivirus skanerlərini və digər təhlükəsizlik sistemlərini keçmək üçün istifadə edilə bilər. Təcavüzkar arxivin görünən hissəsinə sənəd və ya şəkil yerləşdirə və gizli hissəyə zərərli kod ehtiva edən icra edilə bilən fayl yerləşdirə bilər. Bu icra edilə bilən fayl antivirus proqramı tərəfindən aşkarlanmayacaq, lakin istifadəçi tərəfindən açıldıqda diskə yadda saxlanılacaq. Nümunələrə mikroservislərə, SaaS platformalarına və konteyner izolyasiya sistemlərinə edilən hücumlar daxildir, burada zərərsiz arxivlərin (məsələn, stil cədvəlləri, mətn faylları və ya şəkillər) iş layihələrini ehtiva edən qovluqlara açılması skriptlərin və icra edilə bilən faylların üzərinə yaza bilər.
Digər bir zəiflik (CVE-2026-96889) Rust-dakı GNOME layihəsi tərəfindən hazırlanmış librsvg kitabxanasında aşkar edilmişdir. Kitabxana GTK və GNOME tətbiqlərində SVG-nin göstərilməsi üçün istifadə olunur və həmçinin həftədə 80 milyon dəfə yüklənən və təxminən 11 layihə tərəfindən asılılıq kimi istifadə edilən məşhur sharp NPM paketinə daxildir. Zəiflik xüsusi hazırlanmış SVG şəkilləri emal edilərkən xüsusi kod icrasına imkan verir. Problem librsvg 2.56.6, 2.60.3, 2.62.4 və 2.63.1 versiyalarında, eləcə də sharp NPM paketinin 0.35.5 versiyasında həll edilmişdir. Təsirə məruz qalan layihələr arasında PeerTube platforması da var idi (asılılıq bugünkü PeerTube 8.3.2 buraxılışında yeniləndi).
SVG fayllarında istifadə olunan XML işarələməsini təhlil etmək üçün librsvg, libxml2 C kitabxanasından funksiyalardan istifadə edir. Bu zəiflik, təkrarlanan adları olan dublikat elementləri ehtiva edən SVG fayllarında iç içə yerləşdirilmiş XML Xincludes funksiyasının yaddaşa girişə səbəb olması səbəbindən yaranır. Xəta, librsvg-in libxml2 təhlilçisi tərəfindən hələ də istifadədə olan XML elementləri üçün yaddaşı boşaltması səbəbindən baş verir.
Mənbə: opennet.ru
