{"id":184011,"date":"2026-10-27T11:40:44","date_gmt":"2026-10-27T09:40:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/uyazvimosti-v-rust-bibliotekah-zip-rs-i-librsvg"},"modified":"2026-10-27T11:40:49","modified_gmt":"2026-10-27T09:40:49","slug":"vulnerabilities-in-rust-libraries-zip-rs-and-librsvg","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/vulnerabilities-in-rust-libraries-zip-rs-and-librsvg","title":{"rendered":"Schwachstellen in Rust-Bibliotheken zip-rs und librsvg","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In der Zip-RS-Bibliothek, die in Rust geschrieben wurde und etwa 10 Millionen Downloads pro Woche verzeichnet, wurde eine Schwachstelle (CVE-2026-115905) entdeckt, die es erm\u00f6glicht, Archive zu erstellen, die harmlos erscheinen, beim Entpacken jedoch andere Dateien extrahieren, die urspr\u00fcnglich nicht in der Liste angezeigt werden. Dateien k\u00f6nnen au\u00dferhalb der Struktur des \u201eCentral Directory\u201c im Archiv platziert werden, wodurch beim Anzeigen der Dateiliste ein Inhalt angezeigt wird, aber beim Entpacken \u00fcber die API ZipStreamReader andere Dateien extrahiert werden. Der Gefahr wurde eine Gefahrenstufe von 10 von 10 zugewiesen. Die Schwachstelle wurde in der Version zip-rs 9.0.5 behoben.<\/p>\n
Die Sicherheitsanf\u00e4lligkeit entsteht durch die Verwendung unterschiedlicher Header beim willk\u00fcrlichen Zugriff auf das Archiv \u00fcber die API ZipArchive und beim Extrahieren von Daten im Streaming-Modus mit Hilfe der API ZipStreamReader. Der Handler ZipArchive verl\u00e4sst sich auf den Header CDFH (Central Directory File Header), w\u00e4hrend ZipStreamReader beim Extrahieren von Dateien den Header LFH (Local File Header) ohne Synchronisation der doppelten Metadaten als vorrangig betrachtet.<\/p>\n
Die Schwachstelle kann dazu verwendet werden, E-Mail-Filter, Antivirus-Scanner und andere Sicherheitssysteme zu umgehen. Ein Angreifer kann in dem sichtbaren Teil des Archives ein Dokument oder ein Bild platzieren, w\u00e4hrend er in dem versteckten Teil eine ausf\u00fchrbare Datei mit sch\u00e4dlichem Code unterbringen kann, die vom Antivirus nicht erkannt wird, aber beim Entpacken durch den Benutzer auf der Festplatte gespeichert wird. Beispiele f\u00fcr solche Angriffe sind auf Mikrodienste, SaaS-Plattformen und Systeme zur Container-Isolierung, bei denen beim Entpacken in Verzeichnissen mit harmlosen Archiven, beispielsweise mit Stylesheets, Textdateien oder Bildern, Skripte und ausf\u00fchrbare Dateien \u00fcberschrieben werden k\u00f6nnen.<\/p>\n
Zus\u00e4tzlich kann die Verwundbarkeit (CVE-2026-96889) in der Bibliothek librsvg erw\u00e4hnt werden, die vom GNOME-Projekt in der Programmiersprache Rust entwickelt wird. Die Bibliothek wird in GTK und GNOME-Anwendungen zur Darstellung von SVG verwendet und ist zudem Teil des beliebten NPM-Pakets sharp, das w\u00f6chentlich 80 Millionen Downloads verzeichnet und in fast 11.000 Projekten als Abh\u00e4ngigkeit genutzt wird. Die Verwundbarkeit erm\u00f6glicht die Ausf\u00fchrung eigenen Codes bei der Verarbeitung speziell gestalteter SVG-Bilder. Das Problem wurde in den Versionen librsvg 2.56.6, 2.60.3, 2.62.4 und 2.63.1 sowie im NPM-Paket sharp 0.35.5 behoben. Unter den betroffenen Projekten befindet sich die Plattform PeerTube (Abh\u00e4ngigkeit wurde in der heutigen Version PeerTube 8.3.2 aktualisiert).<\/p>\n
F\u00fcr die Analyse der XML-Auszeichnung, die in SVG-Dateien verwendet wird, nutzt librsvg Funktionen aus der C-Bibliothek libxml2. Die Verwundbarkeit entsteht, weil bei Vorhandensein von geschachtelten XML-Konstruktionen in SVG mit Xincludes, die doppelte Elemente mit sich wiederholenden Namen enthalten, auf den Speicher nach dessen Freigabe zugegriffen wird. Der Absturz tritt ein, weil die Bibliothek librsvg den Speicher f\u00fcr XML-Elemente freigibt, die weiterhin im Parser libxml2 verwendet werden. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"