{"id":184011,"date":"2026-10-27T11:40:44","date_gmt":"2026-10-27T09:40:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/uyazvimosti-v-rust-bibliotekah-zip-rs-i-librsvg"},"modified":"2026-10-27T11:40:49","modified_gmt":"2026-10-27T09:40:49","slug":"vulnerabilities-in-rust-libraries-zip-rs-and-librsvg","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/vulnerabilities-in-rust-libraries-zip-rs-and-librsvg","title":{"rendered":"Vulnerabilidades en las bibliotecas Rust zip-rs y librsvg","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se ha identificado una vulnerabilidad (CVE-2026-115905) en la biblioteca zip-rs, escrita en Rust y que cuenta con aproximadamente 10 millones de descargas semanales. Esta vulnerabilidad permite crear archivos zip que parecen ser inofensivos, pero al descomprimirlos se extraen otros archivos que no estaban inicialmente mostrados en la lista. Los archivos pueden encontrarse en el archivo fuera de la estructura «Central Directory», lo que provoca que al visualizar la lista de archivos se muestre un contenido, pero al descomprimir a trav\u00e9s de la API ZipStreamReader se extraen otros archivos. Se ha asignado un nivel de peligro de 10 de 10 a este problema. La vulnerabilidad ha sido corregida en la versi\u00f3n zip-rs 9.0.5.<\/p>\n
La vulnerabilidad se debe al uso de diferentes encabezados al acceder de forma arbitraria al archivo zip utilizando la API ZipArchive y al extraer datos en modo de flujo mediante la API ZipStreamReader. El manejador ZipArchive se basa en el encabezado CDFH (Encabezado de Archivo del Directorio Central), mientras que ZipStreamReader prioriza m\u00e1s el encabezado LFH (Encabezado de Archivo Local) al extraer archivos, sin sincronizar los metadatos duplicados.<\/p>\n
La vulnerabilidad puede ser utilizada para eludir filtros de correo electr\u00f3nico, esc\u00e1neres antivirus y otros sistemas de verificaci\u00f3n de seguridad. Un atacante puede colocar un documento o imagen en la parte visible del archivo zip, mientras que en la parte oculta puede incluir un archivo ejecutable con c\u00f3digo malicioso que no ser\u00e1 detectado por el antivirus, pero que se guardar\u00e1 en el disco al descomprimirlo por el usuario. Ejemplos incluyen ataques a microservicios, plataformas SaaS y sistemas de aislamiento de contenedores, donde al descomprimir archivos zip que no parecen peligrosos, como conjuntos de estilos, archivos de texto o im\u00e1genes, pueden sobrescribirse scripts y archivos ejecutables en los directorios de proyectos de trabajo.<\/p>\n
Adem\u00e1s, se puede mencionar una vulnerabilidad (CVE-2026-96889) en la biblioteca librsvg, desarrollada por el proyecto GNOME en lenguaje Rust. La biblioteca se utiliza en GTK y en aplicaciones GNOME para renderizar SVG, y tambi\u00e9n est\u00e1 involucrada en el popular paquete de NPM sharp, que cuenta con 80 millones de descargas semanales y se utiliza como dependencia en casi 11 mil proyectos. La vulnerabilidad permite ejecutar c\u00f3digo propio al procesar im\u00e1genes SVG especialmente dise\u00f1adas. El problema se ha solucionado en las versiones librsvg 2.56.6, 2.60.3, 2.62.4 y 2.63.1, as\u00ed como en el paquete NPM sharp 0.35.5. Entre los proyectos afectados se encuentra la plataforma PeerTube (la dependencia se actualiz\u00f3 en la versi\u00f3n de hoy PeerTube 8.3.2).<\/p>\n
Para analizar la estructura XML utilizada en archivos SVG, librsvg emplea funciones de la biblioteca C libxml2. La vulnerabilidad se debe a que, en presencia de estructuras XML anidadas Xincludes que contienen elementos duplicados con nombres repetidos, se produce un acceso a la memoria despu\u00e9s de haber sido liberada. El fallo se genera porque la biblioteca librsvg libera la memoria de los elementos XML que a\u00fan est\u00e1n en uso por el analizador libxml2. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"