Rust тілінде жазылған және аптасына шамамен 10 миллион рет жүктелген zip-rs кітапханасында осалдық (CVE-2026-115905) анықталды. Бұл осалдық зиянсыз болып көрінетін мұрағаттарды жасауға мүмкіндік береді, бірақ ашылған кезде байланыссыз файлдар алынады. Файлдарды "Орталық каталог" құрылымынан тыс мұрағатқа орналастыруға болады, бұл файлдар тізімінде бірдей мазмұнды көрсетуге әкеледі, бірақ ZipStreamReader API арқылы ашылған кезде байланыссыз файлдар алынады. Мәселеге 10-нан 10 ауырлық деңгейі берілді. Осалдық zip-rs 9.0.5 нұсқасында түзетілді.
Осалдық ZipArchive API арқылы кездейсоқ мұрағатқа кіру кезінде және ZipStreamReader API арқылы деректерді ағынмен алу кезінде әртүрлі тақырыптарды пайдаланудан туындайды. ZipArchive өңдегіші CDFH (Central Directory File Header) тақырыбына сүйенеді, ал ZipStreamReader файлдарды алу кезінде қайталанатын метадеректерді синхрондамай, LFH (Local File Header) тақырыбына басымдық береді.
Осалдықты пошта сүзгілерін, антивирустық сканерлерді және басқа да қауіпсіздік жүйелерін айналып өту үшін пайдалануға болады. Шабуылдаушы құжатты немесе кескінді мұрағаттың көрінетін бөлігіне орналастыра алады және зиянды коды бар орындалатын файлды жасырын бөлікке орналастыра алады. Бұл орындалатын файлды антивирустық бағдарламалық жасақтама анықтамайды, бірақ пайдаланушы ашқан кезде дискіге сақталады. Мысалдарға микросервистерге, SaaS платформаларына және контейнерді оқшаулау жүйелеріне жасалған шабуылдар жатады, мұнда зиянсыз мұрағаттарды (мысалы, стиль кестелері, мәтіндік файлдар немесе суреттер) жұмыс жобалары бар каталогтарға ашу сценарийлер мен орындалатын файлдарды қайта жазуы мүмкін.
Тағы бір осалдық (CVE-2026-96889) Rust қаласындағы GNOME жобасымен жасалған librsvg кітапханасында кездеседі. Кітапхана SVG көрсету үшін GTK және GNOME қолданбаларында қолданылады, сондай-ақ аптасына 80 миллион рет жүктелетін және шамамен 11 000 жоба тәуелділік ретінде пайдаланатын танымал sharp NPM пакетіне кіреді. Осалдық арнайы жасалған SVG кескіндерін өңдеу кезінде арнайы кодты орындауға мүмкіндік береді. Мәселе librsvg 2.56.6, 2.60.3, 2.62.4 және 2.63.1 нұсқаларында, сондай-ақ sharp NPM пакетінің 0.35.5 нұсқаларында шешілді. Әсер етілген жобалардың қатарында PeerTube платформасы болды (тәуелділік бүгінгі PeerTube 8.3.2 шығарылымында жаңартылды).
SVG файлдарында қолданылатын XML белгілеуін талдау үшін librsvg libxml2 C кітапханасынан функцияларды пайдаланады. Осалдық SVG файлдарындағы қайталанатын атаулары бар қайталанатын элементтерді қамтитын кірістірілген XML Xincludes босатылғаннан кейін жадқа кіруге себеп болғандықтан орын алады. Істен шығу librsvg libxml2 талдаушысы әлі де пайдаланып жатқан XML элементтері үшін жадты босатқандықтан орын алады.
Ақпарат көзі: opennet.ru
