{"id":184011,"date":"2026-10-27T11:40:44","date_gmt":"2026-10-27T09:40:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/uyazvimosti-v-rust-bibliotekah-zip-rs-i-librsvg"},"modified":"2026-10-27T11:40:49","modified_gmt":"2026-10-27T09:40:49","slug":"vulnerabilities-in-rust-libraries-zip-rs-and-librsvg","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/vulnerabilities-in-rust-libraries-zip-rs-and-librsvg","title":{"rendered":"Vulnerabilit\u00e0 nelle librerie Rust zip-rs e librsvg","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nella libreria zip-rs, scritta in Rust e con circa 10 milioni di download a settimana, \u00e8 stata identificata una vulnerabilit\u00e0 (CVE-2026-115905) che consente di creare archivi che sembrano innocui, ma da cui, durante la decompressione, vengono estratti altri file inizialmente non elencati. I file possono essere collocati nell'archivio al di fuori della struttura \"Central Directory\", per cui visualizzando l'elenco dei file viene mostrato un contenuto, ma durante la decompressione tramite l'API ZipStreamReader vengono estratti altri file. La problematica \u00e8 stata classificata con un livello di pericolo 10 su 10. La vulnerabilit\u00e0 \u00e8 stata corretta nella versione zip-rs 9.0.5.<\/p>\n
La vulnerabilit\u00e0 \u00e8 causata dall'uso di intestazioni diverse durante l'accesso arbitrario all'archivio tramite l'API ZipArchive e durante l'estrazione di dati in streaming mediante l'API ZipStreamReader. L'elaboratore ZipArchive si basa sull'intestazione CDFH (Central Directory File Header), mentre ZipStreamReader, durante l'estrazione di file, considera pi\u00f9 prioritario l'intestazione LFH (Local File Header) senza sincronizzare i metadati duplicati.<\/p>\n
La vulnerabilit\u00e0 pu\u00f2 essere sfruttata per bypassare filtri postali, scanner antivirus e altri sistemi di controllo della sicurezza. Un attaccante pu\u00f2 collocare nella parte visibile dell'archivio un documento o un'immagine, mentre in quella nascosta pu\u00f2 mettere un file eseguibile con codice malevolo, che non sar\u00e0 rilevato dall'antivirus ma verr\u00e0 salvato su disco durante l'estrazione da parte dell'utente. Esempi includono attacchi a microservizi, piattaforme SaaS e sistemi di isolamento attraverso contenitori, in cui durante l'estrazione in directory con progetti di lavoro di archivi apparentemente innocui, come set di stili, file di testo o immagini, possono essere sovrascritti script e file eseguibili.<\/p>\n
Si segnala inoltre una vulnerabilit\u00e0 (CVE-2026-96889) nella libreria librsvg, sviluppata dal progetto GNOME in linguaggio Rust. Questa libreria \u00e8 utilizzata in GTK e nelle applicazioni GNOME per il rendering di SVG, ed \u00e8 anche impiegata nel popolare pacchetto NPM sharp, che conta 80 milioni di download settimanali ed \u00e8 utilizzato come dipendenza da quasi 11.000 progetti. La vulnerabilit\u00e0 consente di eseguire codice arbitrario durante l'elaborazione di immagini SVG appositamente formattate. Il problema \u00e8 stato risolto nelle versioni librsvg 2.56.6, 2.60.3, 2.62.4 e 2.63.1, oltre che nel pacchetto NPM sharp 0.35.5. Tra i progetti colpiti c'\u00e8 la piattaforma PeerTube (la dipendenza \u00e8 stata aggiornata nell'odierna versione di PeerTube 8.3.2).<\/p>\n
Per l'analisi del markup XML utilizzato nei file SVG, librsvg utilizza funzioni dalla libreria C libxml2. La vulnerabilit\u00e0 \u00e8 causata dal fatto che, in presenza di strutture XML nidificate Xincludes all'interno di SVG, che includono elementi duplicati con nomi ripetuti, viene effettuato un accesso alla memoria dopo che \u00e8 stata liberata. Il crash si verifica poich\u00e9 la libreria librsvg libera la memoria per gli elementi XML che sono ancora in uso nel parser libxml2. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"