{"id":184011,"date":"2026-10-27T11:40:44","date_gmt":"2026-10-27T09:40:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/uyazvimosti-v-rust-bibliotekah-zip-rs-i-librsvg"},"modified":"2026-10-27T11:40:49","modified_gmt":"2026-10-27T09:40:49","slug":"vulnerabilities-in-rust-libraries-zip-rs-and-librsvg","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/vulnerabilities-in-rust-libraries-zip-rs-and-librsvg","title":{"rendered":"Haavatavused Rusti teekides zip-rs ja librsvg","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Rustis kirjutatud zip-rs teegis, millel on umbes 10 miljonit allalaadimist n\u00e4dalas, avastati haavatavus (CVE-2026-115905), mis v\u00f5imaldab luua arhiive, mis n\u00e4ivad olevat ohutud, kuid nende lahti pakkimisel saadakse teisi faile, mis algselt ei n\u00e4idatud nimekirjas. Failid v\u00f5ivad olla arhiivis paigutatud v\u00e4ljaspool «Central Directory» struktuuri, mist\u00f5ttu failide nimekirja vaadates kuvatakse \u00fcks sisu, kuid lahti pakkimise k\u00e4igus API ZipStreamReader kaudu saadakse teised failid. Probleemile on antud ohu aste 10 punkti 10-st. Haavatavus on parandatud versioonis zip-rs 9.0.5.<\/p>\n
Haavatavus tuleneb erinevate p\u00e4iste kasutamisest arhiivi juhuslikul ligip\u00e4\u00e4sul API ZipArchive abil ning andmete ekstraheerimisel voogedastusre\u017eiimis API ZipStreamReader kaudu. ZipArchive t\u00f6\u00f6tleja toetub CDFH (Central Directory File Header) p\u00e4isele, samas kui ZipStreamReader annab failide ekstraheerimisel prioriteedi LFH (Local File Header) p\u00e4isele ilma dubleerivate metaandmete s\u00fcnkroniseerimiseta.<\/p>\n
Haavatavust v\u00f5ib kasutada e-posti filtritest, viiruset\u00f5rjest ja muudest turvakesksetest s\u00fcsteemidest m\u00f6\u00f6dumiseks. R\u00fcndaja v\u00f5ib paigutada arhiivi n\u00e4htavasse ossa dokumendi v\u00f5i pildi ning varjatud ossa lisada k\u00e4ivitatava faili, mis sisaldab kahjulikku koodi, mis ei j\u00e4\u00e4 viiruset\u00f5rjele m\u00e4rgatuks, kuid salvestatakse kasutaja dekompressimisel kettale. N\u00e4idetena tuuakse v\u00e4lja r\u00fcnnakud mikroteenustele, SaaS-platvormidele ja konteinerite isoleerimise s\u00fcsteemidele, mille k\u00e4igus v\u00f5ivad kahjutute arhiivide, n\u00e4iteks stiilipakkide, tekstifailide v\u00f5i piltide dekompressimisel t\u00f6\u00f6s olevates projektikaustades salaja asenduda skriptid ja k\u00e4ivitatavad failid.<\/p>\n
Lisaks on m\u00e4rkida haavatavust (CVE-2026-96889) raamatukogus librsvg, mida arendab GNOME projekt Rusti keeles. Raamatukogu kasutatakse GTK-s ja GNOME rakendustes SVG-de joonistamiseks ning see on seotud populaarses NPM-paketis sharp, millel on 80 miljonit allalaadimist n\u00e4dalas ja mis on s\u00f5ltuvuseks peaaegu 11 tuhandes projektis. Haavatavus v\u00f5imaldab korraldada oma koodi t\u00e4itmist spetsiaalselt vormindatud SVG-piltide t\u00f6\u00f6tlemise k\u00e4igus. Probleem on lahendatud versioonides librsvg 2.56.6, 2.60.3, 2.62.4 ja 2.63.1 ning NPM-paketis sharp 0.35.5. Probleemsete projektide hulka kuulus PeerTube platvorm (s\u00f5ltuvus oli v\u00e4rskendatud t\u00e4nases PeerTube 8.3.2 v\u00e4ljaandes).<\/p>\n
XML-m\u00e4rgistuse, mida kasutatakse SVG-failides, anal\u00fc\u00fcsimiseks kasutab librsvg C-raamatukogust libxml2 p\u00e4rit funktsioone. Haavatavus tekib seet\u00f5ttu, et kui SVG-s on seesmistest XML-struktuuridest Xincludes, mis sisaldavad korduvaid elemente korduvate nimedega, toimub m\u00e4lu juurde p\u00e4\u00e4semine p\u00e4rast selle vabastamist. T\u00f5rge tekib, kuna librsvg raamatukogu vabastab m\u00e4lu XML-elementide jaoks, mida kasutatakse endiselt libxml2 parsijas. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"