zip-rs library မှာ အားနည်းချက်တစ်ခု (CVE-2026-115905) ကို Rust နဲ့ရေးသားထားပြီး တစ်ပတ်ကို အကြိမ်ရေ ၁၀ သန်းလောက် download လုပ်ထားပါတယ်။ ဒီအားနည်းချက်က အန္တရာယ်မရှိဘူးလို့ထင်ရတဲ့ archive တွေ ဖန်တီးနိုင်ပေမယ့် unpack လုပ်လိုက်တဲ့အခါ မသက်ဆိုင်တဲ့ဖိုင်တွေကို extract လုပ်ပါတယ်။ ဖိုင်တွေကို "Central Directory" structure ပြင်ပက archive တစ်ခုမှာ ထည့်ထားနိုင်ပြီး ဖိုင်စာရင်းမှာ တူညီတဲ့အကြောင်းအရာတွေကို ပြသနိုင်ပေမယ့် ZipStreamReader API ကို အသုံးပြုပြီး unpack လုပ်လိုက်တဲ့အခါ မသက်ဆိုင်တဲ့ဖိုင်တွေကို extract လုပ်ပါတယ်။ ဒီပြဿနာကို ပြင်းထန်မှုအဆင့် ၁၀ မှာ ၁၀ သတ်မှတ်ထားပါတယ်။ zip-rs 9.0.5 မှာ ဒီအားနည်းချက်ကို ပြင်ဆင်ပြီးပါပြီ။
ZipArchive API ကို အသုံးပြု၍ random archive access လုပ်စဉ်နှင့် ZipStreamReader API ကို အသုံးပြု၍ streaming data extraction လုပ်စဉ်အတွင်း header အမျိုးမျိုးကို အသုံးပြုခြင်းကြောင့် ဤအားနည်းချက် ဖြစ်ပေါ်ရခြင်း ဖြစ်သည်။ ZipArchive handler သည် CDFH (Central Directory File Header) header ကို အားကိုးပြီး ZipStreamReader သည် ဖိုင်များကို extract လုပ်စဉ်တွင် duplicate metadata များကို synchronize မလုပ်ဘဲ LFH (Local File Header) header ကို ဦးစားပေးသည်။
ဤအားနည်းချက်ကို မေးလ်စစ်ထုတ်ကိရိယာများ၊ antivirus စကင်နာများနှင့် အခြားလုံခြုံရေးစနစ်များကို ကျော်ဖြတ်ရန် အသုံးပြုနိုင်သည်။ တိုက်ခိုက်သူတစ်ဦးသည် စာရွက်စာတမ်း သို့မဟုတ် ရုပ်ပုံကို archive ၏ မြင်သာသောအပိုင်းတွင် ထားနိုင်ပြီး malicious code ပါရှိသော executable ဖိုင်ကို ဝှက်ထားသောအပိုင်းတွင် ထားနိုင်သည်။ ဤ executable ဖိုင်ကို antivirus ဆော့ဖ်ဝဲလ်မှ မတွေ့ရှိနိုင်သော်လည်း အသုံးပြုသူမှ unpack လုပ်သောအခါ disk တွင် သိမ်းဆည်းထားမည်ဖြစ်သည်။ ဥပမာများတွင် microservices၊ SaaS platforms နှင့် container isolation systems များကို တိုက်ခိုက်မှုများ ပါဝင်ပြီး အလုပ်ပရောဂျက်များပါရှိသော directory များထဲသို့ အန္တရာယ်ကင်းသော archive များ (stylesheets၊ text files သို့မဟုတ် images များကဲ့သို့) ကို unpack လုပ်ခြင်းဖြင့် script များနှင့် executable ဖိုင်များကို overwrite လုပ်နိုင်သည်။
နောက်ထပ်အားနည်းချက်တစ်ခု (CVE-2026-96889) ကို Rust ရှိ GNOME ပရောဂျက်မှ တီထွင်ထားသော librsvg library တွင် တွေ့ရှိရသည်။ ထို library ကို GTK နှင့် GNOME အပလီကေးရှင်းများတွင် SVG ကို render လုပ်ရန်အတွက် အသုံးပြုပြီး လူကြိုက်များသော sharp NPM package တွင်လည်း ပါဝင်သည်၊ ၎င်းကို တစ်ပတ်လျှင် အကြိမ် ၈၀ သန်း download လုပ်ကြပြီး ပရောဂျက် ၁၁,၀၀၀ နီးပါးမှ dependency အဖြစ် အသုံးပြုကြသည်။ ဤအားနည်းချက်သည် အထူးပြုလုပ်ထားသော SVG image များကို process လုပ်သည့်အခါ custom code execution ကို ခွင့်ပြုသည်။ ဤပြဿနာကို librsvg ဗားရှင်း 2.56.6၊ 2.60.3၊ 2.62.4 နှင့် 2.63.1 တွင်သာမက sharp NPM package 0.35.5 တွင်ပါ ပြင်ဆင်ပြီးဖြစ်သည်။ ထိခိုက်ခံရသော ပရောဂျက်များထဲတွင် PeerTube ပလက်ဖောင်း (ယနေ့ PeerTube 8.3.2 ၏ dependency ကို update လုပ်ထားသည်) ပါဝင်သည်။
SVG ဖိုင်များတွင်အသုံးပြုသော XML markup ကို parse လုပ်ရန်အတွက် librsvg သည် libxml2 C library မှ function များကိုအသုံးပြုသည်။ SVG ဖိုင်များတွင်ပါဝင်သော nested XML Xincludes များသည် အမည်ထပ်နေသော duplicate element များပါဝင်သောကြောင့် free လုပ်ပြီးနောက် memory access ဖြစ်စေသောကြောင့် vulnerability ဖြစ်ပေါ်သည်။ librsvg သည် libxml2 parser မှအသုံးပြုနေဆဲ XML element များအတွက် memory ကို free လုပ်သောကြောင့် crash ဖြစ်ပေါ်သည်။
source: opennet.ru
