Une vuln\u00e9rabilit\u00e9 (CVE-2026-115905) a \u00e9t\u00e9 identifi\u00e9e dans la biblioth\u00e8que zip-rs, \u00e9crite en Rust et ayant environ 10 millions de t\u00e9l\u00e9chargements par semaine, permettant de cr\u00e9er des archives qui semblent inoffensives, mais qui extraient d'autres fichiers non initialement affich\u00e9s dans la liste lors de leur d\u00e9compression. Les fichiers peuvent \u00eatre plac\u00e9s dans l'archive en dehors de la structure \u00ab Central Directory \u00bb, de sorte qu'en visualisant la liste des fichiers, un contenu diff\u00e9rent est affich\u00e9, mais lors de la d\u00e9compression via l'API ZipStreamReader, d'autres fichiers sont extraits. Ce probl\u00e8me a \u00e9t\u00e9 class\u00e9 avec un niveau de gravit\u00e9 de 10 sur 10. La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 corrig\u00e9e dans la version zip-rs 9.0.5.<\/p>\n
La vuln\u00e9rabilit\u00e9 est due \u00e0 l'utilisation de diff\u00e9rents en-t\u00eates lors de l'acc\u00e8s al\u00e9atoire \u00e0 l'archive via l'API ZipArchive et lors de l'extraction de donn\u00e9es en mode streaming avec l'API ZipStreamReader. Le gestionnaire ZipArchive s'appuie sur l'en-t\u00eate CDFH (Central Directory File Header), tandis que ZipStreamReader donne la priorit\u00e9 \u00e0 l'en-t\u00eate LFH (Local File Header) lors de l'extraction des fichiers, sans synchronisation des m\u00e9tadonn\u00e9es dupliqu\u00e9es.<\/p>\n
Cette vuln\u00e9rabilit\u00e9 peut \u00eatre exploit\u00e9e pour contourner les filtres de messagerie, les analyseurs antivirus et d'autres syst\u00e8mes de v\u00e9rification de la s\u00e9curit\u00e9. Un attaquant peut ins\u00e9rer un document ou une image dans la partie visible de l'archive et placer un fichier ex\u00e9cutable contenant du code malveillant dans la partie cach\u00e9e, qui ne sera pas d\u00e9tect\u00e9 par l'antivirus mais sera enregistr\u00e9 sur le disque lors de la d\u00e9compression par l'utilisateur. Parmi les exemples figurent des attaques sur des microservices, des plateformes SaaS et des syst\u00e8mes d'isolation par conteneurs, o\u00f9 lors de la d\u00e9compression d'archives apparemment inoffensives, comme celles contenant des ensembles de styles, des fichiers texte ou des images, des scripts et des fichiers ex\u00e9cutables peuvent \u00eatre \u00e9cras\u00e9s dans des r\u00e9pertoires de projets actifs.<\/p>\n
On peut \u00e9galement noter une vuln\u00e9rabilit\u00e9 (CVE-2026-96889) dans la biblioth\u00e8que librsvg, d\u00e9velopp\u00e9e par le projet GNOME en Rust. Cette biblioth\u00e8que est utilis\u00e9e dans GTK et les applications GNOME pour le rendu SVG, et elle est \u00e9galement impliqu\u00e9e dans le populaire paquet NPM sharp, qui compte 80 millions de t\u00e9l\u00e9chargements par semaine et est utilis\u00e9 comme d\u00e9pendance par presque 11 000 projets. La vuln\u00e9rabilit\u00e9 permet d'ex\u00e9cuter du code arbitraire lors du traitement d'images SVG sp\u00e9cialement con\u00e7ues. Le probl\u00e8me a \u00e9t\u00e9 r\u00e9solu dans les versions librsvg 2.56.6, 2.60.3, 2.62.4 et 2.63.1, ainsi que dans le paquet NPM sharp 0.35.5. Parmi les projets affect\u00e9s se trouve la plateforme PeerTube (la d\u00e9pendance a \u00e9t\u00e9 mise \u00e0 jour dans la sortie d'aujourd'hui, PeerTube 8.3.2).<\/p>\n