A zip-rs könyvtárban, amely Rust nyelven készült és heti körülbelül 10 millió letöltéssel rendelkezik, egy sebezhetőség (CVE-2026-115905) került elő, amely lehetővé teszi olyan archívumok létrehozását, amelyek ártalmatlanul néznek ki, de kibővítésük során más, eredetileg a listában nem szereplő fájlok kerülnek elő. A fájlok elhelyezhetők az archívumban a 'Central Directory' struktúrán kívül, aminek következtében a fájlok listájának megtekintésekor egy tartalom jelenik meg, de a ZipStreamReader API-n keresztül történő kibővítés során más fájlok kerülnek elő. A problémának 10/10-es veszélyességi szintet rendeltek.
A sebezhetőséget eltérő fejléc használata okozza az archívumhoz való közvetlen hozzáféréskor a ZipArchive API-n keresztül, valamint az adatok streamelése során a ZipStreamReader API használatával. A ZipArchive kezelő a CDFH (Central Directory File Header) fejlécre támaszkodik, míg a ZipStreamReader a fájlok kibővítésekor prioritásként kezeli az LFH (Local File Header) fejlécet a duplikált metaadatok szinkronizálása nélkül.
A sebezhetőség felhasználható a levelezőszűrők, víruskeresők és egyéb biztonsági ellenőrző rendszerek megkerülésére. A támadó a látható részben elhelyezhet egy dokumentumot vagy egy képet az archívumban, míg a rejtett részbe egy végrehajtható fájlt helyez el, amely rosszindulatú kódot tartalmaz, és amelyet a víruskereső nem észlel, de a felhasználó kibővítésekor a lemezre kerül. Példaként említik a mikroszolgáltatások, a SaaS-platformok és a konténerizált rendszerek elleni támadásokat, ahol ártalmatlan archívumok, például stíluscsomagok, szöveges fájlok vagy képek kibővítésekor a munkahelyi projekteket tartalmazó könyvtárakban felülírhatják a szkripteket és végrehajtható fájlokat.
Továbbiakban megemlíthető a librsvg könyvtárban felfedezett sérülékenység (CVE-2026-96889), amelyet a GNOME projekt fejleszt Rust nyelven. A könyvtárat a GTK és GNOME alkalmazások SVG-k megjelenítésére használják, valamint a népszerű NPM-csomagban, a sharp-ban is, amely heti 80 millió letöltést generál, és közel 11 ezer projekt függősége. A sérülékenység lehetővé teszi, hogy kódot futtassanak speciálisan elkészített SVG-képek feldolgozása során. A probléma a librsvg 2.56.6, 2.60.3, 2.62.4 és 2.63.1 verzióiban, valamint a sharp 0.35.5 NPM-csomagban lett javítva. A sérülékenységet kihasználó projektek között szerepel a PeerTube platform (a függőség frissítve lett a PeerTube 8.3.2 mai kiadásában).
Az SVG-fájlokban használt XML-értékek elemzésére a librsvg a libxml2 C-könyvtár funkcióit használja. A sérülékenység akkor lép fel, ha az SVG-ben beágyazott XML-struktúrák Xincludes tartalmaznak, amelyek ismétlődő elemeket és neveket használnak, mivel ez a memória már felszabadításra került. A hiba akkor lép fel, amikor a librsvg könyvtár felszabadítja a memóriát az XML-elemektől, amelyeket még tovább használnak a libxml2 elemzőjében.
Forrás: opennet.ru
