{"id":184011,"date":"2026-10-27T11:40:44","date_gmt":"2026-10-27T09:40:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/uyazvimosti-v-rust-bibliotekah-zip-rs-i-librsvg"},"modified":"2026-10-27T11:40:49","modified_gmt":"2026-10-27T09:40:49","slug":"vulnerabilities-in-rust-libraries-zip-rs-and-librsvg","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/news\/vulnerabilities-in-rust-libraries-zip-rs-and-librsvg","title":{"rendered":"Ranljivosti u Rust bibliotekama zip-rs i librsvg","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
U biblioteci zip-rs, napisanoj na jeziku Rust i koja bilje\u017ei oko 10 milijuna preuzimanja tjedno, otkrivena je ranjivost (CVE-2026-115905) koja omogu\u0107ava stvaranje arhiva koji izgledaju bezopasno, ali pri raspakiranju iz njih se izvla\u010de drugi, izvorno neprikazani u popisu, datoteke. Datoteke mogu biti smje\u0161tene u arhivu izvan strukture «Central Directory», zbog \u010dega se pri pregledu popisa datoteka prikazuje jedan sadr\u017eaj, ali se pri raspakiranju putem API-ja ZipStreamReader izvla\u010de druge datoteke. Ranjivosti je dodijeljena razina opasnosti 10 od 10. Ranjivost je ispravljena u verziji zip-rs 9.0.5.<\/p>\n
Ranjivost je uzrokovana kori\u0161tenjem razli\u010ditih zaglavlja prilikom proizvoljnog pristupa arhivu pomo\u0107u API-ja ZipArchive i prilikom izdvajanja podataka u streaming modu kori\u0161tenjem API-ja ZipStreamReader. Handler ZipArchive oslanja se na zaglavlje CDFH (Central Directory File Header), dok ZipStreamReader prilikom izdvajanja datoteka smatra prioritetnijim zaglavlje LFH (Local File Header) bez sinkronizacije dupliciranih metapodataka.<\/p>\n
Ranjivost se mo\u017ee iskoristiti za zaobila\u017eenje po\u0161tanskih filtara, antivirusnih skeneri i drugih sigurnosnih sustava. Napada\u010d mo\u017ee u vidljivu \u010d\u00e1st arhiva staviti dokument ili sliku, dok u skrivenu mo\u017ee smjestiti izvr\u0161nu datoteku s zlo\u0107udnim kodom, koja ne\u0107e biti uo\u010dena antivirusom, ali \u0107e biti pohranjena na disk prilikom raspakiranja od strane korisnika. Kao primjeri navode se napadi na mikroservise, SaaS platforme i sustave kontejnerske izolacije, tijekom kojih prilikom raspakiranja u direktorijima s radnim projektima bezopasnih arhiva, kao \u0161to su skupovi stilova, tekstualne datoteke ili slike, mogu biti prepisani skripti i izvr\u0161ne datoteke.<\/p>\n
Dodatno, valja istaknuti ranjivost (CVE-2026-96889) u biblioteci librsvg, koju razvija GNOME projekt na jeziku Rust. Ova biblioteka se koristi u GTK i GNOME aplikacijama za crtanje SVG-a, a tako\u0111er je uklju\u010dena u popularni NPM paket sharp, koji broji 80 milijuna preuzimanja tjedno te se koristi kao zavisnost u gotovo 11 tisu\u0107a projekata. Ranjivost omogu\u0107ava izvr\u0161avanje vlastitog koda prilikom obrade posebno pripremljenih SVG slika. Problem je ispravljen u verzijama librsvg 2.56.6, 2.60.3, 2.62.4 i 2.63.1, kao i u NPM paketu sharp 0.35.5. Me\u0111u pogo\u0111enim projektima na\u0161la se platforma PeerTube (zavisnost je a\u017eurirana u dana\u0161njem izdanju PeerTube 8.3.2).<\/p>\n
Za analizu XML oznake kori\u0161tene u SVG datotekama, librsvg koristi funkcije iz C biblioteke libxml2. Ranjivost nastaje jer u prisustvu ugnije\u017edenih XML konstrukcija Xincludes unutar SVG-a, koje uklju\u010duju duplicirane elemente s ponovljenim imenima, dolazi do pristupa memoriji nakon \u0161to je oslobo\u0111ena. Gre\u0161ka se doga\u0111a jer biblioteka librsvg osloba\u0111a memoriju za XML elemente koji se jo\u0161 uvijek koriste u parseru libxml2. \n Izvor: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"