Rust 라이브러리 zip-rs 및 librsvg의 취약점

Rust로 작성되어 매주 약 10천만 회 다운로드되는 zip-rs 라이브러리에서 취약점(CVE-2026-115905)이 발견되었습니다. 이 취약점을 이용하면 겉보기에는 무해해 보이는 압축 파일을 생성할 수 있지만, 압축을 풀면 관련 없는 파일이 추출됩니다. 파일을 "중앙 디렉터리" 구조 외부에 배치하면 파일 목록에는 동일한 내용이 표시되지만, ZipStreamReader API를 사용하여 압축을 풀면 관련 없는 파일이 추출됩니다. 이 문제는 심각도 10점 만점에 10점으로 평가되었습니다. 해당 취약점은 zip-rs 9.0.5 버전에서 수정되었습니다.

이 취약점은 ZipArchive API를 사용한 임의 아카이브 접근 시와 ZipStreamReader API를 사용한 스트리밍 데이터 추출 시 서로 다른 헤더를 사용하는 데서 비롯됩니다. ZipArchive 핸들러는 CDFH(Central Directory File Header) 헤더에 의존하는 반면, ZipStreamReader는 중복 메타데이터를 동기화하지 않고 파일을 추출할 때 LFH(Local File Header) 헤더를 우선시합니다.

이 취약점은 메일 필터, 바이러스 백신 스캐너 및 기타 보안 시스템을 우회하는 데 사용될 수 있습니다. 공격자는 압축 파일의 보이는 부분에 문서나 이미지를 넣고, 숨겨진 부분에 악성 코드가 포함된 실행 파일을 넣을 수 있습니다. 이 실행 파일은 바이러스 백신 소프트웨어에 탐지되지 않지만, 사용자가 압축을 풀면 디스크에 저장됩니다. 예를 들어 마이크로서비스, SaaS 플랫폼 및 컨테이너 격리 시스템에 대한 공격에서, 작업 프로젝트가 포함된 디렉터리에 무해한 압축 파일(스타일시트, 텍스트 파일 또는 이미지 등)을 압축 해제하면 스크립트 및 실행 파일이 덮어쓰여질 수 있습니다.

GNOME 프로젝트에서 Rust로 개발한 librsvg 라이브러리에서 또 다른 취약점(CVE-2026-96889)이 발견되었습니다. 이 라이브러리는 GTK 및 GNOME 애플리케이션에서 SVG 렌더링에 사용되며, 매주 80천만 회 다운로드되고 약 11개 프로젝트에서 종속성으로 사용되는 인기 있는 sharp NPM 패키지에도 포함되어 있습니다. 이 취약점은 특수하게 조작된 SVG 이미지를 처리할 때 사용자 지정 코드 실행을 허용합니다. 해당 문제는 librsvg 버전 2.56.6, 2.60.3, 2.62.4, 2.63.1 및 sharp NPM 패키지 0.35.5에서 수정되었습니다. 영향을 받은 프로젝트 중 하나는 PeerTube 플랫폼이었으며, PeerTube 8.3.2 릴리스에서 해당 종속성이 업데이트되었습니다.

SVG 파일에 사용되는 XML 마크업을 파싱하기 위해 librsvg는 libxml2 C 라이브러리의 함수를 사용합니다. 이 취약점은 SVG 파일에 중첩된 XML Xinclude로 인해 발생하는데, 이 Xinclude는 이름이 반복되는 중복 요소를 포함하여 메모리 해제 후에도 메모리 접근을 유발합니다. librsvg가 libxml2 파서에서 여전히 사용 중인 XML 요소에 대한 메모리를 해제하려고 할 때 크래시가 발생합니다.

출처 : opennet.ru