In de zip-rs bibliotheek, geschreven in de programmeertaal Rust en met ongeveer 10 miljoen downloads per week, is een kwetsbaarheid ontdekt (CVE-2026-115905) die het mogelijk maakt om archieven te creƫren die onschuldig lijken, maar bij het uitpakken andere bestanden onthullen die aanvankelijk niet in de lijst stonden. Bestanden kunnen buiten de structuur van de 'Central Directory' in het archief worden geplaatst, waardoor bij het bekijken van de bestanden in de lijst een andere inhoud wordt weergegeven, maar bij het uitpakken via de API ZipStreamReader andere bestanden worden geƫxtraheerd. Deze kwetsbaarheid is geclassificeerd met een risico van 10 uit 10. De kwetsbaarheid is verholpen in versie zip-rs 9.0.5.
De kwetsbaarheid is veroorzaakt door het gebruik van verschillende headers bij willekeurige toegang tot het archief via de API ZipArchive en bij het extraheren van gegevens in streaming modus via de API ZipStreamReader. De ZipArchive handler vertrouwt op de CDFH header (Central Directory File Header), terwijl de ZipStreamReader bij het extraheren van bestanden de LFH header (Local File Header) als meer prioritair beschouwt zonder de duplicerende metadata te synchroniseren.
De kwetsbaarheid kan worden gebruikt om e-mailfilters, antivirus scanners en andere beveiligingscontroles te omzeilen. Een aanvaller kan in het zichtbare deel van het archief een document of afbeelding plaatsen, terwijl in het verborgen gedeelte een uitvoerbaar bestand met schadelijke code zit, dat niet door de antivirus wordt opgemerkt, maar op de schijf wordt opgeslagen wanneer de gebruiker het uitpakt. Voorbeelden omvatten aanvallen op microservices, SaaS-platforms en containerisolatiesystemen, waarbij bij het uitpakken in directories met onschadelijke werkprojectarchieven, zoals stijlen, tekstbestanden of afbeeldingen, scripts en uitvoerbare bestanden kunnen worden overschreven.
Daarnaast kan de kwetsbaarheid (CVE-2026-96889) in de librsvg-bibliotheek, ontwikkeld door het GNOME-project in Rust, worden opgemerkt. Deze bibliotheek wordt gebruikt in GTK en GNOME-applicaties voor het renderen van SVG, en is ook betrokken bij het populaire NPM-pakket sharp, dat 80 miljoen downloads per week telt en als afhankelijkheid wordt gebruikt door bijna 11.000 projecten. De kwetsbaarheid stelt aanvallers in staat om hun eigen code uit te voeren bij het verwerken van speciaal opgemaakte SVG-afbeeldingen. Het probleem is verholpen in de versies librsvg 2.56.6, 2.60.3, 2.62.4 en 2.63.1, evenals in het NPM-pakket sharp 0.35.5. Onder de getroffen projecten bevond zich het PeerTube-platform (afhankelijkheid bijgewerkt in de release van PeerTube 8.3.2).
Voor het parseren van de XML-markup die in SVG-bestanden wordt gebruikt, maakt librsvg gebruik van functies van de C-bibliotheek libxml2. De kwetsbaarheid wordt veroorzaakt doordat, wanneer er genestelde XML-structuren Xincludes in SVG zijn die duplicaten bevatten met herhalende namen, er toegang tot het geheugen plaatsvindt na vrijgave. De fout doet zich voor omdat de librsvg-bibliotheek geheugen voor XML-elementen vrijgeeft dat nog steeds wordt gebruikt door de parser libxml2.
Bron: opennet.ru
