Nella libreria zip-rs, scritta in Rust e con circa 10 milioni di download a settimana, è stata scoperta una vulnerabilità (CVE-2026-115905) che consente di creare archivi che sembrano innocui, ma durante l'estrazione rivelano altri file, inizialmente non mostrati nell'elenco. I file possono essere collocati all'interno dell'archivio al di fuori della struttura 'Central Directory', per cui visualizzando l'elenco dei file appare un contenuto, ma estraendo attraverso l'API ZipStreamReader ne vengono rivelati altri. Alla vulnerabilità è stato assegnato un livello di gravità di 10 su 10. La vulnerabilità è stata corretta nella versione zip-rs 9.0.5.
La vulnerabilità è causata dall'uso di intestazioni diverse durante l'accesso arbitrario all'archivio tramite l'API ZipArchive e durante l'estrazione di dati in streaming mediante l'API ZipStreamReader. L'elaboratore ZipArchive si basa sull'intestazione CDFH (Central Directory File Header), mentre ZipStreamReader, durante l'estrazione di file, considera più prioritario l'intestazione LFH (Local File Header) senza sincronizzare i metadati duplicati.
La vulnerabilità può essere sfruttata per bypassare filtri postali, scanner antivirus e altri sistemi di controllo della sicurezza. Un attaccante può collocare nella parte visibile dell'archivio un documento o un'immagine, mentre in quella nascosta può mettere un file eseguibile con codice malevolo, che non sarà rilevato dall'antivirus ma verrà salvato su disco durante l'estrazione da parte dell'utente. Esempi includono attacchi a microservizi, piattaforme SaaS e sistemi di isolamento attraverso contenitori, in cui durante l'estrazione in directory con progetti di lavoro di archivi apparentemente innocui, come set di stili, file di testo o immagini, possono essere sovrascritti script e file eseguibili.
Si segnala inoltre una vulnerabilità (CVE-2026-96889) nella libreria librsvg, sviluppata dal progetto GNOME in linguaggio Rust. Questa libreria è utilizzata in GTK e nelle applicazioni GNOME per il rendering di SVG, ed è anche impiegata nel popolare pacchetto NPM sharp, che conta 80 milioni di download settimanali ed è utilizzato come dipendenza da quasi 11.000 progetti. La vulnerabilità consente di eseguire codice arbitrario durante l'elaborazione di immagini SVG appositamente formattate. Il problema è stato risolto nelle versioni librsvg 2.56.6, 2.60.3, 2.62.4 e 2.63.1, oltre che nel pacchetto NPM sharp 0.35.5. Tra i progetti colpiti c'è la piattaforma PeerTube (la dipendenza è stata aggiornata nell'odierna versione di PeerTube 8.3.2).
Per l'analisi del markup XML utilizzato nei file SVG, librsvg utilizza funzioni dalla libreria C libxml2. La vulnerabilità è causata dal fatto che, in presenza di strutture XML nidificate Xincludes all'interno di SVG, che includono elementi duplicati con nomi ripetuti, viene effettuato un accesso alla memoria dopo che è stata liberata. Il crash si verifica poiché la libreria librsvg libera la memoria per gli elementi XML che sono ancora in uso nel parser libxml2.
Fonte: opennet.ru
