{"id":184011,"date":"2026-10-27T11:40:44","date_gmt":"2026-10-27T09:40:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/uyazvimosti-v-rust-bibliotekah-zip-rs-i-librsvg"},"modified":"2026-10-27T11:40:49","modified_gmt":"2026-10-27T09:40:49","slug":"vulnerabilities-in-rust-libraries-zip-rs-and-librsvg","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/vulnerabilities-in-rust-libraries-zip-rs-and-librsvg","title":{"rendered":"Vulnerabilidades nas bibliotecas Rust zip-rs e librsvg","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Na biblioteca zip-rs, escrita na linguagem Rust e com cerca de 10 milh\u00f5es de downloads por semana, foi identificada uma vulnerabilidade (CVE-2026-115905) que permite a cria\u00e7\u00e3o de arquivos compactados que parecem inofensivos, mas que, ao serem descompactados, extraem outros arquivos que n\u00e3o estavam inicialmente exibidos na lista. Os arquivos podem ser colocados no arquivo fora da estrutura «Central Directory», fazendo com que, ao visualizar a lista de arquivos, um conte\u00fado seja exibido, mas ao descompactar via API ZipStreamReader, outros arquivos sejam extra\u00eddos. A quest\u00e3o foi classificada com um n\u00edvel de gravidade de 10 em 10. A vulnerabilidade foi corrigida na vers\u00e3o zip-rs 9.0.5.<\/p>\n
A vulnerabilidade \u00e9 causada pelo uso de diferentes cabe\u00e7alhos ao acessar um arquivo zip de forma arbitr\u00e1ria atrav\u00e9s da API ZipArchive e ao extrair dados em modo de streaming pela API ZipStreamReader. O manipulador ZipArchive confia no cabe\u00e7alho CDFH (Central Directory File Header), enquanto o ZipStreamReader prioriza o cabe\u00e7alho LFH (Local File Header) durante a extra\u00e7\u00e3o de arquivos, sem a devida sincroniza\u00e7\u00e3o dos metadados duplicados.<\/p>\n
A vulnerabilidade pode ser explorada para contornar filtros de e-mail, scanners antiv\u00edrus e outros sistemas de verifica\u00e7\u00e3o de seguran\u00e7a. Um atacante pode colocar um documento ou imagem na parte vis\u00edvel do arquivo zip, enquanto um arquivo execut\u00e1vel com c\u00f3digo malicioso \u00e9 escondido, n\u00e3o sendo detectado pelo antiv\u00edrus, mas sendo salvo no disco quando o usu\u00e1rio descompacta. Exemplos incluem ataques a microsservi\u00e7os, plataformas SaaS e sistemas de isolamento em cont\u00eaineres, onde, ao descompactar arquivos inofensivos, como conjuntos de estilos, arquivos de texto ou imagens, scripts e arquivos execut\u00e1veis podem ser sobrescritos em diret\u00f3rios de projetos em andamento.<\/p>\n
Al\u00e9m disso, pode-se mencionar a vulnerabilidade (CVE-2026-96889) na biblioteca librsvg, desenvolvida pelo projeto GNOME na linguagem Rust. A biblioteca \u00e9 utilizada no GTK e em aplicativos GNOME para renderiza\u00e7\u00e3o de SVG, al\u00e9m de estar envolvida no popular pacote NPM sharp, com 80 milh\u00f5es de downloads por semana e utilizado como depend\u00eancia em quase 11 mil projetos. A vulnerabilidade permite a execu\u00e7\u00e3o de c\u00f3digo pr\u00f3prio ao processar imagens SVG especialmente formatadas. O problema foi corrigido nas vers\u00f5es librsvg 2.56.6, 2.60.3, 2.62.4 e 2.63.1, bem como no pacote NPM sharp 0.35.5. Entre os projetos afetados est\u00e1 a plataforma PeerTube (depend\u00eancia atualizada na vers\u00e3o de hoje, PeerTube 8.3.2).<\/p>\n
Para analisar a marca\u00e7\u00e3o XML utilizada em arquivos SVG, a librsvg recorre a fun\u00e7\u00f5es da biblioteca C libxml2. A vulnerabilidade ocorre porque, ao haver constru\u00e7\u00f5es XML aninhadas Xincludes no SVG, que incluem elementos duplicados com nomes repetidos, ocorre acesso \u00e0 mem\u00f3ria ap\u00f3s sua libera\u00e7\u00e3o. A falha surge porque a biblioteca librsvg libera a mem\u00f3ria para os elementos XML que ainda est\u00e3o sendo utilizados no parser libxml2. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"