{"id":184011,"date":"2026-10-27T11:40:44","date_gmt":"2026-10-27T09:40:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/uyazvimosti-v-rust-bibliotekah-zip-rs-i-librsvg"},"modified":"2026-10-27T11:40:49","modified_gmt":"2026-10-27T09:40:49","slug":"vulnerabilities-in-rust-libraries-zip-rs-and-librsvg","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/vulnerabilities-in-rust-libraries-zip-rs-and-librsvg","title":{"rendered":"S\u00e5rbarheder i Rust-bibliotekerne zip-rs og librsvg","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Biblioteket zip-rs, skrevet i Rust og med omtrent 10 millioner downloads om ugen, har en s\u00e5rbarhed (CVE-2026-115905), der tillader oprettelse af arkiver, som ser uskyldige ud, men som samtidig udtr\u00e6kker andre filer, der oprindeligt ikke vises i listen, n\u00e5r de udpakkes. Filerne kan placeres i arkivet uden for strukturen «Central Directory», hvilket medf\u00f8rer, at der vises \u00e9t indhold i filoversigten, men ved udpakning gennem API'et ZipStreamReader udtr\u00e6kkes andre filer. Problemet er vurderet til en faregrad p\u00e5 10 ud af 10. S\u00e5rbarheden er blevet rettet i version zip-rs 9.0.5.<\/p>\n
S\u00e5rbarheden skyldes brugen af forskellige overskrifter ved vilk\u00e5rlig adgang til arkivet via API ZipArchive og ved udpakkning af data i streamingtilstand via API ZipStreamReader. ZipArchive h\u00e5ndtereren er afh\u00e6ngig af overskriften CDFH (Central Directory File Header), mens ZipStreamReader ved udpakkning af filer anser overskriften LFH (Local File Header) for at v\u00e6re mere prioriteret uden synkronisering af duplikerede metadata.<\/p>\n
S\u00e5rbarheden kan bruges til at omg\u00e5 e-mailfiltre, antivirus-scannere og andre sikkerhedskontrolsystemer. Angriberen kan placere et dokument eller billede i den synlige del af arkivet, mens en eksekverbar fil med ondsindet kode kan placeres i den skjulte del, som ikke vil blive opdaget af antivirussoftware men vil blive gemt p\u00e5 disken ved brugerens udpakkning. Eksempler inkluderer angreb mod mikroservice, SaaS-platforme og systemer til containerisolering, hvor der ved udpakkning i kataloger med arbejdende projekter, der ikke repr\u00e6senterer en trussel, eksempelvis arkiver med stylesheets, tekstfiler eller billeder, kan overskrives scripts og eksekverbare filer.<\/p>\n
Derudover kan der n\u00e6vnes en s\u00e5rbarhed (CVE-2026-96889) i biblioteket librsvg, som udvikles af GNOME-projektet i Rust. Biblioteket bruges i GTK og GNOME-applikationer til at tegne SVG, og det er ogs\u00e5 involveret i den popul\u00e6re NPM-pakke sharp, der har 80 millioner downloads om ugen og anvendes som afh\u00e6ngighed af n\u00e6sten 11.000 projekter. S\u00e5rbarheden tillader udf\u00f8relse af egen kode ved behandling af specielt udformede SVG-billeder. Problemet er l\u00f8st i versioner af librsvg 2.56.6, 2.60.3, 2.62.4 og 2.63.1, samt i NPM-pakken sharp 0.35.5. Blandt de ber\u00f8rte projekter er platformen PeerTube (afh\u00e6ngigheden blev opdateret i dagens udgave af PeerTube 8.3.2).<\/p>\n
For at parse XML-markup, der anvendes i SVG-filer, anvender librsvg funktioner fra C-biblioteket libxml2. S\u00e5rbarheden opst\u00e5r, fordi n\u00e5r der er indlejrede XML-strukturer Xincludes i SVG, som indeholder duplikerede elementer med gentagne navne, sker der adgang til hukommelsen efter den er frigivet. Fejlen opst\u00e5r, da biblioteket librsvg frigiver hukommelsen til XML-elementerne, som stadig bliver brugt i parseren libxml2. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"