রাস্ট লাইব্রেরি zip-rs এবং librsvg-এর দুর্বলতা

রাস্ট (Rust) ভাষায় লেখা এবং প্রতি সপ্তাহে প্রায় ১ কোটি বার ডাউনলোড হওয়া zip-rs লাইব্রেরিতে একটি দুর্বলতা (CVE-2026-115905) আবিষ্কৃত হয়েছে। এই দুর্বলতার কারণে আপাতদৃষ্টিতে নিরীহ আর্কাইভ তৈরি করা যায়, কিন্তু আনপ্যাক করার সময় সম্পর্কহীন ফাইল এক্সট্র্যাক্ট হয়ে যায়। ফাইলগুলোকে কোনো আর্কাইভের "সেন্ট্রাল ডিরেক্টরি" কাঠামোর বাইরে রাখা যায়, যার ফলে ফাইল লিস্টে একই কন্টেন্ট দেখা যায়, কিন্তু ZipStreamReader API ব্যবহার করে আনপ্যাক করার সময় সম্পর্কহীন ফাইল এক্সট্র্যাক্ট হয়ে যায়। এই সমস্যাটিকে ১০-এর মধ্যে ১০ তীব্রতার স্তর (severity level) দেওয়া হয়েছে। zip-rs 9.0.5 সংস্করণে এই দুর্বলতাটি সমাধান করা হয়েছে।

ZipArchive API ব্যবহার করে র‍্যান্ডম আর্কাইভ অ্যাক্সেস এবং ZipStreamReader API ব্যবহার করে স্ট্রিমিং ডেটা এক্সট্র্যাকশনের সময় ভিন্ন ভিন্ন হেডার ব্যবহারের কারণে এই দুর্বলতাটি সৃষ্টি হয়। ZipArchive হ্যান্ডলার CDFH (সেন্ট্রাল ডিরেক্টরি ফাইল হেডার) হেডারের উপর নির্ভর করে, অন্যদিকে ZipStreamReader ডুপ্লিকেট মেটাডেটা সিঙ্ক্রোনাইজ না করেই ফাইল এক্সট্র্যাক্ট করার সময় LFH (লোকাল ফাইল হেডার) হেডারকে অগ্রাধিকার দেয়।

এই দুর্বলতা ব্যবহার করে মেইল ​​ফিল্টার, অ্যান্টিভাইরাস স্ক্যানার এবং অন্যান্য নিরাপত্তা ব্যবস্থা এড়িয়ে যাওয়া যায়। একজন আক্রমণকারী কোনো আর্কাইভের দৃশ্যমান অংশে একটি ডকুমেন্ট বা ছবি এবং এর গোপন অংশে ক্ষতিকারক কোডযুক্ত একটি এক্সিকিউটেবল ফাইল রাখতে পারে। এই এক্সিকিউটেবল ফাইলটি অ্যান্টিভাইরাস সফটওয়্যারের চোখে পড়বে না, কিন্তু ব্যবহারকারী যখন এটি আনপ্যাক করবে, তখন এটি ডিস্কে সেভ হয়ে যাবে। এর উদাহরণগুলোর মধ্যে রয়েছে মাইক্রোসার্ভিস, SaaS প্ল্যাটফর্ম এবং কন্টেইনার আইসোলেশন সিস্টেমের ওপর আক্রমণ, যেখানে কাজের প্রজেক্ট থাকা ডিরেক্টরিতে স্টাইলশিট, টেক্সট ফাইল বা ছবির মতো নিরীহ আর্কাইভ আনপ্যাক করলে তা স্ক্রিপ্ট এবং এক্সিকিউটেবল ফাইলকে ওভাররাইট করে দিতে পারে।

GNOME প্রজেক্ট দ্বারা Rust-এ তৈরি librsvg লাইব্রেরিতে আরেকটি দুর্বলতা (CVE-2026-96889) পাওয়া গেছে। এই লাইব্রেরিটি GTK এবং GNOME অ্যাপ্লিকেশনগুলিতে SVG রেন্ডার করার জন্য ব্যবহৃত হয় এবং এটি জনপ্রিয় sharp NPM প্যাকেজেরও একটি অংশ, যা প্রতি সপ্তাহে ৮ কোটি বার ডাউনলোড হয় এবং প্রায় ১১,০০০ প্রজেক্টে একটি ডিপেন্ডেন্সি হিসেবে ব্যবহৃত হয়। এই দুর্বলতার কারণে বিশেষভাবে তৈরি করা SVG ইমেজ প্রসেস করার সময় কাস্টম কোড এক্সিকিউশন সম্ভব হতো। librsvg-এর 2.56.6, 2.60.3, 2.62.4, এবং 2.63.1 ভার্সনগুলোতে, সেইসাথে sharp NPM প্যাকেজ 0.35.5-এ সমস্যাটি সমাধান করা হয়েছে। প্রভাবিত প্রজেক্টগুলোর মধ্যে PeerTube প্ল্যাটফর্মও ছিল (PeerTube 8.3.2-এর আজকের রিলিজে ডিপেন্ডেন্সিটি আপডেট করা হয়েছে)।

SVG ফাইলে ব্যবহৃত XML মার্কআপ পার্স করার জন্য, librsvg, libxml2 C লাইব্রেরির ফাংশন ব্যবহার করে। এই দুর্বলতাটি ঘটে কারণ SVG ফাইলের নেস্টেড XML Xinclude-গুলো, যেগুলোতে একই নামের ডুপ্লিকেট এলিমেন্ট থাকে, মেমরি ফ্রি হয়ে যাওয়ার পরেও তা অ্যাক্সেস করার কারণ হয়। ক্র্যাশটি ঘটে কারণ librsvg এমন XML এলিমেন্টগুলোর জন্য মেমরি ফ্রি করে দেয় যেগুলো তখনও libxml2 পার্সার দ্বারা ব্যবহৃত হচ্ছে।

উত্স: opennet.ru