Sebuah kerentanan (CVE-2026-115905) ditemukan pada pustaka zip-rs, yang ditulis dalam Rust dan diunduh sekitar 10 juta kali per minggu. Kerentanan ini memungkinkan pembuatan arsip yang tampaknya tidak berbahaya, tetapi ketika diekstrak, file yang tidak terkait akan ikut terekstrak. File dapat ditempatkan dalam arsip di luar struktur "Direktori Pusat", menyebabkan daftar file menampilkan konten yang sama, tetapi file yang tidak terkait akan terekstrak ketika diekstrak menggunakan API ZipStreamReader. Masalah ini telah diberi tingkat keparahan 10 dari 10. Kerentanan ini telah diperbaiki di zip-rs 9.0.5.
Kerentanan ini disebabkan oleh penggunaan header yang berbeda selama akses arsip acak menggunakan API ZipArchive dan selama ekstraksi data streaming menggunakan API ZipStreamReader. Handler ZipArchive bergantung pada header CDFH (Central Directory File Header), sedangkan ZipStreamReader memprioritaskan header LFH (Local File Header) saat mengekstrak file, tanpa menyinkronkan metadata duplikat.
Kerentanan ini dapat digunakan untuk melewati filter email, pemindai antivirus, dan sistem keamanan lainnya. Penyerang dapat menempatkan dokumen atau gambar di bagian arsip yang terlihat dan menempatkan file yang dapat dieksekusi yang berisi kode berbahaya di bagian tersembunyi. File yang dapat dieksekusi ini tidak akan terdeteksi oleh perangkat lunak antivirus tetapi akan disimpan ke disk saat diekstrak oleh pengguna. Contohnya termasuk serangan pada layanan mikro, platform SaaS, dan sistem isolasi kontainer, di mana pengekstrakkan arsip yang tidak berbahaya (seperti stylesheet, file teks, atau gambar) ke dalam direktori yang berisi proyek kerja dapat menimpa skrip dan file yang dapat dieksekusi.
Kerentanan lain (CVE-2026-96889) ditemukan pada pustaka librsvg, yang dikembangkan oleh proyek GNOME dalam bahasa Rust. Pustaka ini digunakan dalam aplikasi GTK dan GNOME untuk merender SVG, dan juga termasuk dalam paket NPM sharp yang populer, yang diunduh 80 juta kali per minggu dan digunakan sebagai dependensi oleh hampir 11 proyek. Kerentanan ini memungkinkan eksekusi kode kustom saat memproses gambar SVG yang dibuat khusus. Masalah ini telah diperbaiki dalam versi librsvg 2.56.6, 2.60.3, 2.62.4, dan 2.63.1, serta dalam paket NPM sharp 0.35.5. Di antara proyek yang terpengaruh adalah platform PeerTube (dependensi tersebut diperbarui dalam rilis PeerTube 8.3.2 hari ini).
Untuk mengurai markup XML yang digunakan dalam file SVG, librsvg menggunakan fungsi dari pustaka C libxml2. Kerentanan terjadi karena Xinclude XML bersarang dalam file SVG, yang mencakup elemen duplikat dengan nama yang berulang, menyebabkan akses memori setelah memori tersebut dibebaskan. Crash terjadi karena librsvg membebaskan memori untuk elemen XML yang masih digunakan oleh parser libxml2.
Sumber: opennet.ru
