U biblioteci zip-rs, napisanoj na jeziku Rust i koja ima oko 10 milijuna preuzimanja tjedno, otkrivena je ranjivost (CVE-2026-115905) koja omogućava stvaranje arhiva koji izgledaju bezopasno, ali pri raspakiranju iz njih se izvlače drugi, prvotno nevidljivi datoteke. Datoteke mogu biti smještene u arhivu izvan strukture 'Central Directory', zbog čega se prilikom pregleda popisa datoteka prikazuje jedan sadržaj, ali pri raspačavanju putem API-ja ZipStreamReader izvlače se druge datoteke. Ranjivosti je dodijeljena razina opasnosti 10 od 10. Ranjivost je ispravljena u verziji zip-rs 9.0.5.
Ranjivost je uzrokovana korištenjem različitih zaglavlja prilikom proizvoljnog pristupa arhivu pomoću API-ja ZipArchive i prilikom izdvajanja podataka u streaming modu korištenjem API-ja ZipStreamReader. Handler ZipArchive oslanja se na zaglavlje CDFH (Central Directory File Header), dok ZipStreamReader prilikom izdvajanja datoteka smatra prioritetnijim zaglavlje LFH (Local File Header) bez sinkronizacije dupliciranih metapodataka.
Ranjivost se može iskoristiti za zaobilaženje poštanskih filtara, antivirusnih skeneri i drugih sigurnosnih sustava. Napadač može u vidljivu část arhiva staviti dokument ili sliku, dok u skrivenu može smjestiti izvršnu datoteku s zloćudnim kodom, koja neće biti uočena antivirusom, ali će biti pohranjena na disk prilikom raspakiranja od strane korisnika. Kao primjeri navode se napadi na mikroservise, SaaS platforme i sustave kontejnerske izolacije, tijekom kojih prilikom raspakiranja u direktorijima s radnim projektima bezopasnih arhiva, kao što su skupovi stilova, tekstualne datoteke ili slike, mogu biti prepisani skripti i izvršne datoteke.
Dodatno, valja istaknuti ranjivost (CVE-2026-96889) u biblioteci librsvg, koju razvija GNOME projekt na jeziku Rust. Ova biblioteka se koristi u GTK i GNOME aplikacijama za crtanje SVG-a, a također je uključena u popularni NPM paket sharp, koji broji 80 milijuna preuzimanja tjedno te se koristi kao zavisnost u gotovo 11 tisuća projekata. Ranjivost omogućava izvršavanje vlastitog koda prilikom obrade posebno pripremljenih SVG slika. Problem je ispravljen u verzijama librsvg 2.56.6, 2.60.3, 2.62.4 i 2.63.1, kao i u NPM paketu sharp 0.35.5. Među pogođenim projektima našla se platforma PeerTube (zavisnost je ažurirana u današnjem izdanju PeerTube 8.3.2).
Za analizu XML oznake korištene u SVG datotekama, librsvg koristi funkcije iz C biblioteke libxml2. Ranjivost nastaje jer u prisustvu ugniježdenih XML konstrukcija Xincludes unutar SVG-a, koje uključuju duplicirane elemente s ponovljenim imenima, dolazi do pristupa memoriji nakon što je oslobođena. Greška se događa jer biblioteka librsvg oslobađa memoriju za XML elemente koji se još uvijek koriste u parseru libxml2.
Izvor: opennet.ru
