I zip-rs bibliotek, skrevet i Rust og med omkring 10 millioner downloads om ugen, er der opdaget en sårbarhed (CVE-2026-115905), der muliggør oprettelse af arkiver, som ser harmløse ud, men ved udpakkning udtrækkes andre, oprindeligt ikke viste filer fra listen. Filerne kan placeres i arkivet uden for "Central Directory" strukturen, hvilket betyder, at når man ser filerne, vises det ene indhold, men ved udpakkning via API ZipStreamReader udtrækkes andre filer. Problemet er vurderet til en faregrad på 10 ud af 10. Sårbarheden er blevet rettet i version zip-rs 9.0.5.
Sårbarheden skyldes brugen af forskellige overskrifter ved vilkårlig adgang til arkivet via API ZipArchive og ved udpakkning af data i streamingtilstand via API ZipStreamReader. ZipArchive håndtereren er afhængig af overskriften CDFH (Central Directory File Header), mens ZipStreamReader ved udpakkning af filer anser overskriften LFH (Local File Header) for at være mere prioriteret uden synkronisering af duplikerede metadata.
Sårbarheden kan bruges til at omgå e-mailfiltre, antivirus-scannere og andre sikkerhedskontrolsystemer. Angriberen kan placere et dokument eller billede i den synlige del af arkivet, mens en eksekverbar fil med ondsindet kode kan placeres i den skjulte del, som ikke vil blive opdaget af antivirussoftware men vil blive gemt på disken ved brugerens udpakkning. Eksempler inkluderer angreb mod mikroservice, SaaS-platforme og systemer til containerisolering, hvor der ved udpakkning i kataloger med arbejdende projekter, der ikke repræsenterer en trussel, eksempelvis arkiver med stylesheets, tekstfiler eller billeder, kan overskrives scripts og eksekverbare filer.
Derudover kan der nævnes en sårbarhed (CVE-2026-96889) i biblioteket librsvg, som udvikles af GNOME-projektet i Rust. Biblioteket bruges i GTK og GNOME-applikationer til at tegne SVG, og det er også involveret i den populære NPM-pakke sharp, der har 80 millioner downloads om ugen og anvendes som afhængighed af næsten 11.000 projekter. Sårbarheden tillader udførelse af egen kode ved behandling af specielt udformede SVG-billeder. Problemet er løst i versioner af librsvg 2.56.6, 2.60.3, 2.62.4 og 2.63.1, samt i NPM-pakken sharp 0.35.5. Blandt de berørte projekter er platformen PeerTube (afhængigheden blev opdateret i dagens udgave af PeerTube 8.3.2).
For at parse XML-markup, der anvendes i SVG-filer, anvender librsvg funktioner fra C-biblioteket libxml2. Sårbarheden opstår, fordi når der er indlejrede XML-strukturer Xincludes i SVG, som indeholder duplikerede elementer med gentagne navne, sker der adgang til hukommelsen efter den er frigivet. Fejlen opstår, da biblioteket librsvg frigiver hukommelsen til XML-elementerne, som stadig bliver brugt i parseren libxml2.
Kilde: opennet.ru
