Haavatavused Rusti teekides zip-rs ja librsvg

Rustis kirjutatud zip-rs teegis, millel on ligikaudu 10 miljonit allalaadimist nädalas, avastati haavatavus (CVE-2026-115905), mis võimaldab luua arhiive, mis näevad välja ohutud, kuid mille dekompressimise käigus ekstraheeritakse teisi, algselt nimekirjas mittekuvavad faile. Failid võivad olla paigutatud arhiivi väljaspool "Central Directory" struktuuri, mistõttu failide nimekirja vaatamisel kuvatakse üks sisu, kuid dekompressimise käigus API ZipStreamReader kaudu ekstraheeritakse teised failid. Probleemile on antud ohu tase 10 10-st. Haavatavus on parandatud zip-rs versioonis 9.0.5.

Haavatavus tuleneb erinevate päiste kasutamisest arhiivi juhuslikul ligipääsul API ZipArchive abil ning andmete ekstraheerimisel voogedastusrežiimis API ZipStreamReader kaudu. ZipArchive töötleja toetub CDFH (Central Directory File Header) päisele, samas kui ZipStreamReader annab failide ekstraheerimisel prioriteedi LFH (Local File Header) päisele ilma dubleerivate metaandmete sünkroniseerimiseta.

Haavatavust võib kasutada e-posti filtritest, viirusetõrjest ja muudest turvakesksetest süsteemidest möödumiseks. Ründaja võib paigutada arhiivi nähtavasse ossa dokumendi või pildi ning varjatud ossa lisada käivitatava faili, mis sisaldab kahjulikku koodi, mis ei jää viirusetõrjele märgatuks, kuid salvestatakse kasutaja dekompressimisel kettale. Näidetena tuuakse välja rünnakud mikroteenustele, SaaS-platvormidele ja konteinerite isoleerimise süsteemidele, mille käigus võivad kahjutute arhiivide, näiteks stiilipakkide, tekstifailide või piltide dekompressimisel töös olevates projektikaustades salaja asenduda skriptid ja käivitatavad failid.

Lisaks on märkida haavatavust (CVE-2026-96889) raamatukogus librsvg, mida arendab GNOME projekt Rusti keeles. Raamatukogu kasutatakse GTK-s ja GNOME rakendustes SVG-de joonistamiseks ning see on seotud populaarses NPM-paketis sharp, millel on 80 miljonit allalaadimist nädalas ja mis on sõltuvuseks peaaegu 11 tuhandes projektis. Haavatavus võimaldab korraldada oma koodi täitmist spetsiaalselt vormindatud SVG-piltide töötlemise käigus. Probleem on lahendatud versioonides librsvg 2.56.6, 2.60.3, 2.62.4 ja 2.63.1 ning NPM-paketis sharp 0.35.5. Probleemsete projektide hulka kuulus PeerTube platvorm (sõltuvus oli värskendatud tänases PeerTube 8.3.2 väljaandes).

XML-märgistuse, mida kasutatakse SVG-failides, analüüsimiseks kasutab librsvg C-raamatukogust libxml2 pärit funktsioone. Haavatavus tekib seetõttu, et kui SVG-s on seesmistest XML-struktuuridest Xincludes, mis sisaldavad korduvaid elemente korduvate nimedega, toimub mälu juurde pääsemine pärast selle vabastamist. Tõrge tekib, kuna librsvg raamatukogu vabastab mälu XML-elementide jaoks, mida kasutatakse endiselt libxml2 parsijas.

Allikas: opennet.ru