V knihovně zip-rs, napsané v jazyce Rust a s přibližně 10 miliony stažení týdně, byla odhalena zranitelnost (CVE-2026-115905), která umožňuje vytvářet archivy, které vypadají neškodně, ale při rozbalení obsahují další soubory, které nebyly původně zobrazeny v seznamu. Soubory mohou být umístěny v archivu mimo strukturu „Central Directory“, což znamená, že při pohledu na seznam souborů se zobrazuje jiný obsah, ale při rozbalování prostřednictvím API ZipStreamReader se extrahují jiné soubory. Problém dostal nejvyšší úroveň nebezpečnosti 10 z 10. Zranitelnost byla opravena ve verzi zip-rs 9.0.5.
Zranitelnost je způsobena používáním různých hlaviček při libovolném přístupu k archivu pomocí API ZipArchive a při extrakci dat v reálném čase pomocí API ZipStreamReader. Handler ZipArchive se spoléhá na hlavičku CDFH (Central Directory File Header), zatímco ZipStreamReader při extrakci souborů považuje hlavičku LFH (Local File Header) za prioritnější, aniž by synchronizoval duplicitní metadata.
Zranitelnost může být využita k obcházení e-mailových filtrů, antivirových skenerů a dalších bezpečnostních systémů. Útočník může umístit do viditelné části archivu dokument nebo obrázek a do skryté umístit spustitelný soubor s malwarem, který nebude detekován antivirem, ale bude uložen na disk při rozbalení uživateli. Mezi příklady patří útoky na mikroservisy, SaaS platformy a systémy kontejnerové izolace, kdy při rozbalování v adresářích s pracovními projekty neškodné archivy, jako jsou soubory stylů, textové soubory nebo obrázky, mohou přepsat skripty a spustitelné soubory.
Dále je třeba zmínit zranitelnost (CVE-2026-96889) v knihovně librsvg, kterou vyvíjí projekt GNOME v jazyce Rust. Knihovna se používá v GTK a aplikacích GNOME pro vykreslování SVG a je také součástí populárního balíčku NPM sharp, který má 80 milionů stažení týdně a který je závislostí téměř 11 tisíc projektů. Zranitelnost umožňuje provádění vlastního kódu při zpracování speciálně vytvořených SVG obrázků. Problém byl odstraněn ve verzích librsvg 2.56.6, 2.60.3, 2.62.4 a 2.63.1, stejně jako v balíčku NPM sharp 0.35.5. Mezi postiženými projekty se ocitla platforma PeerTube (závislost byla aktualizována v dnešním vydání PeerTube 8.3.2).
Pro analýzu XML značkování používaného v SVG souborech se v librsvg využívají funkce z C knihovny libxml2. Zranitelnost je způsobena tím, že při přítomnosti vnořených XML struktur Xincludes v SVG, které zahrnují duplikující se prvky s opakujícími se názvy, dojde k přístupu do paměti po jejím uvolnění. Chyba nastává, protože knihovna librsvg uvolňuje paměť pro XML prvky, které jsou stále používány v parseru libxml2.
Zdroj: opennet.ru
