{"id":184011,"date":"2026-10-27T11:40:44","date_gmt":"2026-10-27T09:40:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/uyazvimosti-v-rust-bibliotekah-zip-rs-i-librsvg"},"modified":"2026-10-27T11:40:49","modified_gmt":"2026-10-27T09:40:49","slug":"vulnerabilities-in-rust-libraries-zip-rs-and-librsvg","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/vulnerabilities-in-rust-libraries-zip-rs-and-librsvg","title":{"rendered":"Luki w bibliotekach Rust zip-rs i librsvg","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
W bibliotece zip-rs, napisanej w j\u0119zyku Rust i z oko\u0142o 10 milionami pobra\u0144 tygodniowo, wykryto luk\u0119 (CVE-2026-115905), kt\u00f3ra pozwala na tworzenie archiw\u00f3w, kt\u00f3re wygl\u0105daj\u0105 na niegro\u017ane, ale po dekompresji zawieraj\u0105 inne pliki, pocz\u0105tkowo niewidoczne na li\u015bcie. Pliki mog\u0105 by\u0107 umieszczone w archiwum poza struktur\u0105 \u201eCentral Directory\u201d, co powoduje, \u017ce podczas przegl\u0105dania listy plik\u00f3w wy\u015bwietlane jest inne zawarto\u015b\u0107, ale po dekompresji przez API ZipStreamReader wydobywane s\u0105 inne pliki. Problemowi przypisano poziom niebezpiecze\u0144stwa 10 na 10. Luka zosta\u0142a naprawiona w wersji zip-rs 9.0.5.<\/p>\n
Luka jest spowodowana u\u017cywaniem r\u00f3\u017cnych nag\u0142\u00f3wk\u00f3w przy dowolnym dost\u0119pie do archiwum za pomoc\u0105 API ZipArchive oraz podczas ekstrakcji danych w trybie strumieniowym przy u\u017cyciu API ZipStreamReader. Obs\u0142ugiwane przez ZipArchive polega na nag\u0142\u00f3wku CDFH (Central Directory File Header), a ZipStreamReader przy ekstrakcji plik\u00f3w uznaje za priorytetowy nag\u0142\u00f3wek LFH (Local File Header) bez synchronizacji powtarzaj\u0105cych si\u0119 metadanych.<\/p>\n
Luka ta mo\u017ce by\u0107 wykorzystywana do omijania filtr\u00f3w pocztowych, skaner\u00f3w wirus\u00f3w i innych system\u00f3w kontroli bezpiecze\u0144stwa. Atakuj\u0105cy mo\u017ce umie\u015bci\u0107 w widocznej cz\u0119\u015bci archiwum dokument lub obrazek, a w ukrytej umie\u015bci\u0107 plik wykonywalny z z\u0142o\u015bliwym kodem, kt\u00f3ry nie zostanie wykryty przez antywirus, ale zostanie zapisany na dysku podczas dekompresji przez u\u017cytkownika. Jako przyk\u0142ady podano ataki na mikrous\u0142ugi, platformy SaaS i systemy izolacji kontenerowej, podczas kt\u00f3rych przy dekompresji w katalogach z roboczymi projektami, nie stwarzaj\u0105cych zagro\u017cenia archiw\u00f3w, na przyk\u0142ad z zestawami styl\u00f3w, plikami tekstowymi lub obrazkami, mog\u0105 zosta\u0107 nadpisane skrypty i pliki wykonywalne.<\/p>\n
Dodatkowo mo\u017cna zauwa\u017cy\u0107 luk\u0119 (CVE-2026-96889) w bibliotece librsvg, rozwijanej przez projekt GNOME w j\u0119zyku Rust. Biblioteka jest u\u017cywana w GTK oraz aplikacjach GNOME do renderowania SVG, a tak\u017ce wykorzystywana w popularnym pakiecie NPM sharp, kt\u00f3ry ma 80 mln pobra\u0144 tygodniowo i jest u\u017cywany jako zale\u017cno\u015b\u0107 w prawie 11 tysi\u0105cach projekt\u00f3w. Luka pozwala na wykonanie w\u0142asnego kodu podczas przetwarzania specjalnie przygotowanych obraz\u00f3w SVG. Problem zosta\u0142 rozwi\u0105zany w wersjach librsvg 2.56.6, 2.60.3, 2.62.4 i 2.63.1, a tak\u017ce w pakiecie NPM sharp 0.35.5. W\u015br\u00f3d dotkni\u0119tych projekt\u00f3w znalaz\u0142a si\u0119 platforma PeerTube (zale\u017cno\u015b\u0107 zosta\u0142a zaktualizowana w dzisiejszym wydaniu PeerTube 8.3.2).<\/p>\n
Do analizy XML-u, u\u017cywanego w plikach SVG, w librsvg wykorzystywane s\u0105 funkcje z biblioteki C libxml2. Luka jest spowodowana tym, \u017ce przy obecno\u015bci w SVG zagnie\u017cd\u017conych konstrukcji XML Xincludes, kt\u00f3re zawieraj\u0105 duplikuj\u0105ce si\u0119 elementy z powtarzaj\u0105cymi si\u0119 nazwami, dochodzi do odwo\u0142ania do pami\u0119ci po jej zwolnieniu. Awaria wyst\u0119puje, poniewa\u017c biblioteka librsvg zwalnia pami\u0119\u0107 zajmowan\u0105 przez elementy XML, kt\u00f3re s\u0105 nadal u\u017cywane w parserze libxml2. \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"