„Zip-rs“ bibliotekoje, parašytoje „Rust“ kalba ir atsisiunčiamoje maždaug 10 milijonų kartų per savaitę, buvo aptiktas pažeidžiamumas (CVE-2026-115905). Šis pažeidžiamumas leidžia kurti, atrodytų, nekenksmingus archyvus, tačiau juos išpakavus išskleidžiami nesusiję failai. Failai gali būti patalpinti archyve už „Centrinio katalogo“ struktūros ribų, todėl failų sąraše rodomas tas pats turinys, tačiau nesusiję failai išskleidžiami išpakuojant naudojant „ZipStreamReader“ API. Problemai priskirtas 10 iš 10 pavojingumo lygis. Pažeidžiamumas ištaisytas „zip-rs 9.0.5“ versijoje.
Pažeidžiamumas atsiranda dėl skirtingų antraščių naudojimo atsitiktinės prieigos prie archyvo metu naudojant „ZipArchive“ API ir srautinio duomenų išgavimo metu naudojant „ZipStreamReader“ API. „ZipArchive“ tvarkyklė remiasi CDFH (centrinio katalogo failo antrašte) antrašte, o „ZipStreamReader“, išgaudama failus, teikia pirmenybę LFH (vietinio failo antraštei) antraštei, nesinchronizuodama pasikartojančių metaduomenų.
Šią pažeidžiamumą galima panaudoti apeinant pašto filtrus, antivirusines programas ir kitas saugos sistemas. Užpuolikas gali įdėti dokumentą ar vaizdą į matomą archyvo dalį, o vykdomąjį failą su kenkėjišku kodu – į paslėptą dalį. Šio vykdomojo failo antivirusinė programinė įranga neaptiks, tačiau vartotojui išpakavus jis bus išsaugotas diske. Pavyzdžiai: atakos prieš mikropaslaugas, SaaS platformas ir konteinerių izoliavimo sistemas, kai išpakavus nekenksmingus archyvus (pvz., stilių lapus, tekstinius failus ar vaizdus) į katalogus, kuriuose yra darbo projektai, galima perrašyti scenarijus ir vykdomuosius failus.
Dar vienas pažeidžiamumas (CVE-2026-96889) aptiktas „librsvg“ bibliotekoje, kurią sukūrė GNOME projektas „Rust“ aplinkoje. Ši biblioteka naudojama GTK ir GNOME programose SVG atvaizdavimui, taip pat yra įtraukta į populiarųjį „sharp NPM“ paketą, kuris atsisiunčiamas 80 milijonų kartų per savaitę ir kurį kaip priklausomybę naudoja beveik 11 000 projektų. Šis pažeidžiamumas leidžia vykdyti pasirinktinį kodą apdorojant specialiai sukurtus SVG vaizdus. Problema buvo išspręsta „librsvg“ 2.56.6, 2.60.3, 2.62.4 ir 2.63.1 versijose, taip pat „sharp NPM“ pakete 0.35.5. Tarp paveiktų projektų buvo ir „PeerTube“ platforma (priklausomybė buvo atnaujinta šiandienos „PeerTube 8.3.2“ versijoje).
Norėdama išanalizuoti SVG failuose naudojamą XML žymėjimą, librsvg naudoja funkcijas iš libxml2 C bibliotekos. Pažeidžiamumas atsiranda dėl to, kad SVG failuose esantys įterptieji XML „Xincludes“, kuriuose yra pasikartojančių elementų su pasikartojančiais pavadinimais, sukelia prieigą prie atminties po to, kai ji atlaisvinama. Gedimas įvyksta todėl, kad librsvg atlaisvina atmintį XML elementams, kuriuos vis dar naudoja libxml2 analizatorius.
Šaltinis: opennet.ru
