Уязвимости в Rust-библиотеките zip-rs и librsvg

В библиотеката zip-rs, написана на езика Rust и с около 10 млн изтегляния на седмица, е открита уязвимост (CVE-2026-115905), която позволява създаването на архиви, които изглеждат безобидни, но при разопаковане от тях се извличат други, първоначално не показани в списъка, файлове. Файловете могат да бъдат разположени в архива извън структурата на «Central Directory», поради което при преглед на списъка с файлове се показва съдържание, но при разопаковане чрез API ZipStreamReader се извличат други файлове. На проблема е присвоено ниво на опасност 10 от 10. Уязвимостта е исправена в версия zip-rs 9.0.5.

Уязвимостта е причинена от използването на различни заглавия при произволен достъп до архива чрез API ZipArchive и при извличане на данни в потоков режим с API ZipStreamReader. Обработчикът ZipArchive разчита на заглавието CDFH (Central Directory File Header), докато ZipStreamReader при извличане на файлове счита за по-приоритетно заглавието LFH (Local File Header) без синхронизация на дублиращите се метаданни.

Уязвимостта може да се използва за заобикаляне на пощенски филтри, антивирусни скенери и други системи за проверка на сигурността. Атакуващият може да постави в видимата част на архива документ или изображение, а в скритата да постави изпълним файл с вредоносен код, който няма да бъде забелязан от антивируса, но ще бъде записан на диска при разопаковане от потребителя. Като примери се дават атаки срещу микросервизи, SaaS платформи и системи за контейнерна изолация, при които при разопаковане в директории с работни проекти не представляващи опасност архиви, например, с набори от стилове, текстови файлове или изображения, могат да бъдат презаписани скриптове и изпълними файлове.

Допълнително може да се отбележи уязвимост (CVE-2026-96889) в библиотеката librsvg, развивана от проекта GNOME на езика Rust. Библиотеката се използва в GTK и приложения на GNOME за визуализация на SVG, а също така е внедрена в популярния NPM пакет sharp, който има 80 млн. изтегляния седмично и се използва като зависимост от почти 11 хиляди проекта. Уязвимостта позволява изпълнение на произволен код при обработка на специално подготвени SVG изображения. Проблемът е разрешен в версиите librsvg 2.56.6, 2.60.3, 2.62.4 и 2.63.1, както и в NPM пакета sharp 0.35.5. Сред засегнатите проекти е платформата PeerTube (зависимостта е обновена в днешното издание PeerTube 8.3.2).

За обработка на XML маркировка, използвана в SVG файловете, в librsvg се използват функции от C библиотеката libxml2. Уязвимостта е причинена от факта, че при наличие на вложени XML конструкции Xincludes в SVG, които включват дублиращи се елементи с повтарящи се имена, се случва достъп до памет, след като тя е освободена. Сривът настъпва, тъй като библиотеката librsvg освобождава памет под XML елементи, които все още се използват от парсера libxml2.

Източник: opennet.ru