Se ha detectado una vulnerabilidad en la biblioteca zip-rs, escrita en Rust y que cuenta con aproximadamente 10 millones de descargas semanales (CVE-2026-115905), que permite crear archivos zip que parecen inofensivos, pero que al descomprimirse extraen otros archivos que no se mostraban originalmente en la lista. Los archivos pueden estar ubicados en el archivo zip fuera de la estructura del "Directorio Central", lo que provoca que al ver la lista de archivos se muestre un contenido, pero al descomprimir con la API ZipStreamReader se extraigan otros archivos. Se ha asignado un nivel de peligro de 10 sobre 10 a la vulnerabilidad. La vulnerabilidad se ha corregido en la versión zip-rs 9.0.5.
La vulnerabilidad se debe al uso de diferentes encabezados al acceder de forma arbitraria al archivo zip utilizando la API ZipArchive y al extraer datos en modo de flujo mediante la API ZipStreamReader. El manejador ZipArchive se basa en el encabezado CDFH (Encabezado de Archivo del Directorio Central), mientras que ZipStreamReader prioriza más el encabezado LFH (Encabezado de Archivo Local) al extraer archivos, sin sincronizar los metadatos duplicados.
La vulnerabilidad puede ser utilizada para eludir filtros de correo electrónico, escáneres antivirus y otros sistemas de verificación de seguridad. Un atacante puede colocar un documento o imagen en la parte visible del archivo zip, mientras que en la parte oculta puede incluir un archivo ejecutable con código malicioso que no será detectado por el antivirus, pero que se guardará en el disco al descomprimirlo por el usuario. Ejemplos incluyen ataques a microservicios, plataformas SaaS y sistemas de aislamiento de contenedores, donde al descomprimir archivos zip que no parecen peligrosos, como conjuntos de estilos, archivos de texto o imágenes, pueden sobrescribirse scripts y archivos ejecutables en los directorios de proyectos de trabajo.
Además, se puede mencionar una vulnerabilidad (CVE-2026-96889) en la biblioteca librsvg, desarrollada por el proyecto GNOME en lenguaje Rust. La biblioteca se utiliza en GTK y en aplicaciones GNOME para renderizar SVG, y también está involucrada en el popular paquete de NPM sharp, que cuenta con 80 millones de descargas semanales y se utiliza como dependencia en casi 11 mil proyectos. La vulnerabilidad permite ejecutar código propio al procesar imágenes SVG especialmente diseñadas. El problema se ha solucionado en las versiones librsvg 2.56.6, 2.60.3, 2.62.4 y 2.63.1, así como en el paquete NPM sharp 0.35.5. Entre los proyectos afectados se encuentra la plataforma PeerTube (la dependencia se actualizó en la versión de hoy PeerTube 8.3.2).
Para analizar la estructura XML utilizada en archivos SVG, librsvg emplea funciones de la biblioteca C libxml2. La vulnerabilidad se debe a que, en presencia de estructuras XML anidadas Xincludes que contienen elementos duplicados con nombres repetidos, se produce un acceso a la memoria después de haber sido liberada. El fallo se genera porque la biblioteca librsvg libera la memoria de los elementos XML que aún están en uso por el analizador libxml2.
Fuente: opennet.ru
