Rustで記述され、週に約10万回ダウンロードされているzip-rsライブラリに脆弱性（CVE-2026-115905）が発見されました。この脆弱性により、一見無害なアーカイブを作成できますが、解凍すると無関係なファイルが抽出されます。ファイルは「中央ディレクトリ」構造の外にあるアーカイブ内に配置できるため、ファイル一覧には同じ内容が表示されますが、ZipStreamReader APIを使用して解凍すると無関係なファイルが抽出されます。この問題の深刻度は10段階中10と評価されています。この脆弱性はzip-rs 9.0.5で修正されています。
この脆弱性は、ZipArchive API を使用したランダムなアーカイブアクセス時と、ZipStreamReader API を使用したストリーミングデータ抽出時で、異なるヘッダーが使用されることに起因します。ZipArchive ハンドラは CDFH (Central Directory File Header) ヘッダーに依存しますが、ZipStreamReader は重複するメタデータを同期することなく、ファイルの抽出時に LFH (Local File Header) ヘッダーを優先します。
この脆弱性を悪用すると、メールフィルタ、ウイルス対策スキャナー、その他のセキュリティシステムを回避できます。攻撃者は、アーカイブの可視領域にドキュメントや画像を配置し、隠蔽領域に悪意のあるコードを含む実行可能ファイルを配置できます。この実行可能ファイルはウイルス対策ソフトウェアでは検出されませんが、ユーザーが解凍するとディスクに保存されます。例としては、マイクロサービス、SaaSプラットフォーム、コンテナ分離システムへの攻撃が挙げられます。これらのシステムでは、作業プロジェクトを含むディレクトリに無害なアーカイブ（スタイルシート、テキストファイル、画像など）を解凍すると、スクリプトや実行可能ファイルが上書きされる可能性があります。
GNOMEプロジェクトがRustで開発したlibrsvgライブラリに、別の脆弱性（CVE-2026-96889）が見つかりました。このライブラリは、GTKおよびGNOMEアプリケーションでSVGのレンダリングに使用されており、毎週80万回ダウンロードされ、約11のプロジェクトで依存関係として使用されている人気のsharp NPMパッケージにも含まれています。この脆弱性により、特別に細工されたSVG画像を処理する際に、カスタムコードの実行が可能になります。この問題は、librsvgバージョン2.56.6、2.60.3、2.62.4、2.63.1、およびsharp NPMパッケージ0.35.5で修正されています。影響を受けたプロジェクトの中には、PeerTubeプラットフォームも含まれていました（依存関係は、本日リリースされたPeerTube 8.3.2で更新されました）。
SVG ファイルで使用される XML マークアップを解析するために、librsvg は libxml2 C ライブラリの関数を使用します。この脆弱性は、SVG ファイル内のネストされた XML Xinclude によって、重複した名前を持つ重複要素が解放後にメモリへのアクセスを引き起こすために発生します。librsvg が libxml2 パーサーによってまだ使用されている XML 要素のメモリを解放すると、クラッシュが発生します。
出所： オープンネット.ru
