Zip-rs bibliotÄkÄ, kas rakstÄ«ta Rust valodÄ un lejupielÄdÄta aptuveni 10 miljonus reižu nedÄļÄ, tika atklÄta ievainojamÄ«ba (CVE-2026-115905). Å Ä« ievainojamÄ«ba ļauj izveidot Ŕķietami nekaitÄ«gus arhÄ«vus, bet, tos izpakojot, tiek izvilkti nesaistÄ«ti faili. Failus var ievietot arhÄ«vÄ Ärpus "CentrÄlÄ direktorija" struktÅ«ras, kÄ rezultÄtÄ failu sarakstÄ tiek parÄdÄ«ts viens un tas pats saturs, bet, tos izpakojot, izmantojot ZipStreamReader API, tiek izvilkti nesaistÄ«ti faili. ProblÄmai ir pieŔķirts 10. no 10 nopietnÄ«bas lÄ«menis. IevainojamÄ«ba ir novÄrsta zip-rs 9.0.5 versijÄ.
IevainojamÄ«bu izraisa atŔķirÄ«gu galvenes izmantoÅ”ana nejauÅ”as arhÄ«va piekļuves laikÄ, izmantojot ZipArchive API, un straumÄÅ”anas datu izvilkÅ”anas laikÄ, izmantojot ZipStreamReader API. ZipArchive apstrÄdÄtÄjs paļaujas uz CDFH (Central Directory File Header) galveni, savukÄrt ZipStreamReader, izvelkot failus, prioritÄri izmanto LFH (Local File Header) galveni, nesinhronizÄjot dublÄtos metadatus.
Å o ievainojamÄ«bu var izmantot, lai apietu pasta filtrus, pretvÄ«rusu skenerus un citas droŔības sistÄmas. UzbrucÄjs var ievietot dokumentu vai attÄlu arhÄ«va redzamajÄ daÄ¼Ä un ievietot izpildÄmo failu, kas satur ļaunprÄtÄ«gu kodu, slÄptajÄ daļÄ. Å o izpildÄmo failu pretvÄ«rusu programmatÅ«ra neatklÄs, bet tas tiks saglabÄts diskÄ, kad lietotÄjs to izsaiÅos. PiemÄri ietver uzbrukumus mikropakalpojumiem, SaaS platformÄm un konteineru izolÄcijas sistÄmÄm, kur nekaitÄ«gu arhÄ«vu (piemÄram, stila lapu, teksta failu vai attÄlu) izsaiÅoÅ”ana direktorijÄs, kuros ir darba projekti, var pÄrrakstÄ«t skriptus un izpildÄmos failus.
VÄl viena ievainojamÄ«ba (CVE-2026-96889) ir atrasta librsvg bibliotÄkÄ, ko izstrÄdÄja GNOME projekts Rust vidÄ. BibliotÄka tiek izmantota GTK un GNOME lietojumprogrammÄs SVG renderÄÅ”anai, un tÄ ir iekļauta arÄ« populÄrajÄ sharp NPM pakotnÄ, kas tiek lejupielÄdÄta 80 miljonus reižu nedÄÄ¼Ä un ko kÄ atkarÄ«bu izmanto gandrÄ«z 11 000 projektu. IevainojamÄ«ba ļauj pielÄgot koda izpildi, apstrÄdÄjot speciÄli izveidotus SVG attÄlus. ProblÄma ir novÄrsta librsvg versijÄs 2.56.6, 2.60.3, 2.62.4 un 2.63.1, kÄ arÄ« sharp NPM pakotnÄ 0.35.5. Starp skartajiem projektiem bija PeerTube platforma (atkarÄ«ba tika atjauninÄta Å”odienas PeerTube 8.3.2 laidienÄ).
Lai parsÄtu SVG failos izmantoto XML iezÄ«mÄjumu, librsvg izmanto funkcijas no libxml2 C bibliotÄkas. IevainojamÄ«ba rodas tÄpÄc, ka ligzdoti XML Xincludes elementi SVG failos, kas ietver dublÄtus elementus ar atkÄrtotiem nosaukumiem, izraisa piekļuvi atmiÅai pÄc tÄs atbrÄ«voÅ”anas. AvÄrija rodas tÄpÄc, ka librsvg atbrÄ«vo atmiÅu XML elementiem, kurus joprojÄm izmanto libxml2 parsÄtÄjs.
Avots: opennet.ru
