Zip-rs գրադարանում, որը գրված էր Rust լեզվով և շաբաթական մոտ 10 միլիոն անգամ ներբեռնվում էր, հայտնաբերվել է խոցելիություն (CVE-2026-115905): Այս խոցելիությունը թույլ է տալիս ստեղծել թվացյալ անվնաս արխիվներ, սակայն բացելիս անկապ ֆայլեր են արդյունահանվում: Ֆայլերը կարող են տեղադրվել «Կենտրոնական տեղեկատու» կառուցվածքից դուրս գտնվող արխիվում, ինչի հետևանքով ֆայլերի ցանկը ցուցադրում է նույն բովանդակությունը, սակայն ZipStreamReader API-ի միջոցով բացելիս անկապ ֆայլեր են արդյունահանվում: Խնդրին տրվել է 10-ից 10 լրջության մակարդակ: Խոցելիությունը շտկվել է zip-rs 9.0.5 տարբերակում:
Խոցելիությունը պայմանավորված է տարբեր վերնագրերի օգտագործմամբ՝ ZipArchive API-ի միջոցով արխիվին պատահական մուտք գործելու և ZipStreamReader API-ի միջոցով հոսքային տվյալների արդյունահանման ժամանակ: ZipArchive-ի մշակիչը հիմնված է CDFH (Central Directory File Header) վերնագրի վրա, մինչդեռ ZipStreamReader-ը ֆայլեր արդյունահանելիս առաջնահերթություն է տալիս LFH (Local File Header) վերնագրին՝ առանց կրկնօրինակ մետատվյալների համաժամեցման:
Խոցելիությունը կարող է օգտագործվել փոստի ֆիլտրերը, հակավիրուսային սկաներները և այլ անվտանգության համակարգերը շրջանցելու համար: Հարձակվողը կարող է արխիվի տեսանելի մասում տեղադրել փաստաթուղթ կամ պատկեր, իսկ թաքնված մասում՝ վնասակար կոդ պարունակող կատարվող ֆայլ: Այս կատարվող ֆայլը չի հայտնաբերվի հակավիրուսային ծրագրի կողմից, բայց կպահպանվի սկավառակի վրա, երբ օգտատերը այն բացի: Օրինակներից են միկրոսերվիսների, SaaS հարթակների և կոնտեյներային մեկուսացման համակարգերի վրա հարձակումները, որտեղ անվնաս արխիվների (օրինակ՝ ոճաթերթերի, տեքստային ֆայլերի կամ պատկերների) բացումը աշխատանքային նախագծեր պարունակող գրացուցակներում կարող է վերագրել սկրիպտներն ու կատարվող ֆայլերը:
Մեկ այլ խոցելիություն (CVE-2026-96889) հայտնաբերվել է librsvg գրադարանում, որը մշակվել է GNOME նախագծի կողմից Rust-ում: Գրադարանը օգտագործվում է GTK և GNOME ծրագրերում SVG-ի մշակման համար, ինչպես նաև ներառված է հայտնի sharp NPM փաթեթում, որը ներբեռնվում է շաբաթական 80 միլիոն անգամ և որպես կախվածություն օգտագործվում է մոտ 11 նախագծերի կողմից: Խոցելիությունը թույլ է տալիս կատարել հատուկ կոդ հատուկ մշակված SVG պատկերների մշակման ժամանակ: Խնդիրը շտկվել է librsvg 2.56.6, 2.60.3, 2.62.4 և 2.63.1 տարբերակներում, ինչպես նաև sharp NPM 0.35.5 փաթեթում: Տուժած նախագծերի թվում էր PeerTube հարթակը (կախվածությունը թարմացվել է PeerTube 8.3.2-ի այսօրվա թողարկման մեջ):
SVG ֆայլերում օգտագործվող XML նշագրումը վերլուծելու համար librsvg-ն օգտագործում է libxml2 C գրադարանի ֆունկցիաներ: Խոցելիությունը առաջանում է, քանի որ SVG ֆայլերում ներդրված XML Xincludes-ը, որոնք ներառում են կրկնվող անուններով կրկնօրինակ տարրեր, հիշողությանը մուտք են գործում այն բանից հետո, երբ այն ազատվում է: Վթարը տեղի է ունենում, քանի որ librsvg-ն ազատում է հիշողությունը XML տարրերի համար, որոնք դեռևս օգտագործվում են libxml2 վերլուծիչի կողմից:
Source: opennet.ru
