Uma vulnerabilidade foi detectada na biblioteca zip-rs, escrita em Rust e com cerca de 10 milhões de downloads por semana (CVE-2026-115905). Essa vulnerabilidade permite a criação de arquivos zip que parecem inofensivos, mas, ao serem descompactados, outros arquivos originalmente não exibidos na lista são extraídos. Os arquivos podem ser colocados no arquivo zip fora da estrutura do 'Central Directory', levando a uma situação em que a lista de arquivos exibe um conteúdo, mas a descompactação através da API ZipStreamReader extrai outros arquivos. A gravidade da vulnerabilidade foi classificada como 10 de 10. O problema foi corrigido na versão zip-rs 9.0.5.
A vulnerabilidade é causada pelo uso de diferentes cabeçalhos ao acessar um arquivo zip de forma arbitrária através da API ZipArchive e ao extrair dados em modo de streaming pela API ZipStreamReader. O manipulador ZipArchive confia no cabeçalho CDFH (Central Directory File Header), enquanto o ZipStreamReader prioriza o cabeçalho LFH (Local File Header) durante a extração de arquivos, sem a devida sincronização dos metadados duplicados.
A vulnerabilidade pode ser explorada para contornar filtros de e-mail, scanners antivírus e outros sistemas de verificação de segurança. Um atacante pode colocar um documento ou imagem na parte visível do arquivo zip, enquanto um arquivo executável com código malicioso é escondido, não sendo detectado pelo antivírus, mas sendo salvo no disco quando o usuário descompacta. Exemplos incluem ataques a microsserviços, plataformas SaaS e sistemas de isolamento em contêineres, onde, ao descompactar arquivos inofensivos, como conjuntos de estilos, arquivos de texto ou imagens, scripts e arquivos executáveis podem ser sobrescritos em diretórios de projetos em andamento.
Além disso, pode-se mencionar a vulnerabilidade (CVE-2026-96889) na biblioteca librsvg, desenvolvida pelo projeto GNOME na linguagem Rust. A biblioteca é utilizada no GTK e em aplicativos GNOME para renderização de SVG, além de estar envolvida no popular pacote NPM sharp, com 80 milhões de downloads por semana e utilizado como dependência em quase 11 mil projetos. A vulnerabilidade permite a execução de código próprio ao processar imagens SVG especialmente formatadas. O problema foi corrigido nas versões librsvg 2.56.6, 2.60.3, 2.62.4 e 2.63.1, bem como no pacote NPM sharp 0.35.5. Entre os projetos afetados está a plataforma PeerTube (dependência atualizada na versão de hoje, PeerTube 8.3.2).
Para analisar a marcação XML utilizada em arquivos SVG, a librsvg recorre a funções da biblioteca C libxml2. A vulnerabilidade ocorre porque, ao haver construções XML aninhadas Xincludes no SVG, que incluem elementos duplicados com nomes repetidos, ocorre acesso à memória após sua liberação. A falha surge porque a biblioteca librsvg libera a memória para os elementos XML que ainda estão sendo utilizados no parser libxml2.
Fonte: opennet.ru
