zip-rs китепканасында Rust тилинде жазылган жана жумасына болжол менен 10 миллион жолу жүктөлүп алынган алсыздык (CVE-2026-115905) табылды. Бул алсыздык зыянсыз көрүнгөн архивдерди түзүүгө мүмкүндүк берет, бирок ачылганда байланышы жок файлдар алынып салынат. Файлдарды "Борбордук каталог" түзүмүнүн сыртындагы архивге жайгаштырса болот, бул файлдардын тизмесинде ошол эле мазмунду көрсөтүүгө алып келет, бирок ZipStreamReader API аркылуу ачылганда байланышы жок файлдар алынып салынат. Маселе 10дон 10го чейинки оордук деңгээлине ээ болду. Алсыздык zip-rs 9.0.5 версиясында оңдолгон.
Бул алсыздык ZipArchive API'син колдонуп архивге кокустук кирүү учурунда жана ZipStreamReader API'син колдонуп маалыматтарды агымдык түрдө алуу учурунда ар кандай аталыштарды колдонуудан келип чыгат. ZipArchive иштеткичи CDFH (Борбордук каталог файлынын баш аты) аталышына таянат, ал эми ZipStreamReader файлдарды алууда кайталанган метадайындарды синхрондоштурбастан, LFH (Жергиликтүү файлдын баш аты) аталышына артыкчылык берет.
Бул аялуу кат чыпкаларын, антивирус сканерлерин жана башка коопсуздук системаларын айланып өтүү үчүн колдонулушу мүмкүн. Чабуулчу документти же сүрөттү архивдин көрүнгөн бөлүгүнө жайгаштырып, ал эми жашыруун бөлүгүнө зыяндуу кодду камтыган аткарылуучу файлды жайгаштыра алат. Бул аткарылуучу файл антивирус программасы тарабынан аныкталбай калат, бирок колдонуучу тарабынан ачылганда дискке сакталат. Мисал катары микросервистерге, SaaS платформаларына жана контейнерди изоляциялоо системаларына жасалган чабуулдарды келтирүүгө болот, мында зыянсыз архивдерди (мисалы, стилдик таблицалар, тексттик файлдар же сүрөттөр) жумушчу долбоорлорду камтыган каталогдорго ачуу скрипттерди жана аткарылуучу файлдарды жокко чыгара алат.
Дагы бир алсыздык (CVE-2026-96889) Rust шаарындагы GNOME долбоору тарабынан иштелип чыккан librsvg китепканасында кездешет. Китепкана GTK жана GNOME тиркемелеринде SVGди көрсөтүү үчүн колдонулат жана ошондой эле жумасына 80 миллион жолу жүктөлүп алынган жана дээрлик 11 000 долбоор тарабынан көз карандылык катары колдонулган популярдуу sharp NPM пакетине киргизилген. Алсыздык атайын жасалган SVG сүрөттөрүн иштетүүдө ыңгайлаштырылган кодду аткарууга мүмкүндүк берет. Көйгөй librsvg 2.56.6, 2.60.3, 2.62.4 жана 2.63.1 версияларында, ошондой эле sharp NPM пакетинин 0.35.5 версиясында оңдолгон. Жабыркаган долбоорлордун арасында PeerTube платформасы болгон (көз карандылык бүгүнкү PeerTube 8.3.2 чыгарылышында жаңыртылган).
SVG файлдарында колдонулган XML белгилөөсүн талдоо үчүн librsvg libxml2 C китепканасынан функцияларды колдонот. Бул аялуу абал SVG файлдарындагы кайталанма аталыштары бар кайталанган элементтерди камтыган XML Xincludes файлынын бошотулгандан кийин эс тутумга кирүү мүмкүнчүлүгүн пайда кылгандыктан келип чыгат. Бул кыйроо librsvg libxml2 талдоочусу тарабынан дагы эле колдонулуп жаткан XML элементтери үчүн эс тутумду бошоткондуктан келип чыгат.
Source: opennet.ru
