V knižnici zip-rs, napísanej v jazyku Rust a s približne 10 miliónmi stiahnutí týždenne, bola identifikovaná zraniteľnosť (CVE-2026-115905), ktorá umožňuje vytvárať archívy, ktoré sa javia ako neškodné, ale pri rozbalení z nich sú extrahované iné, pôvodne nezobrazené súbory. Súbory môžu byť umiestnené v archíve mimo štruktúry „Central Directory“, kvôli čomu sa pri prezeraní zoznamu súborov zobrazuje iný obsah, ale pri rozbalení cez API ZipStreamReader sa extrahujú iné súbory. Problém bol zaradený na úroveň závažnosti 10 z 10. Zraniteľnosť bola opravená vo verzii zip-rs 9.0.5.
Zraniteľnosť je spôsobená použitím rôznych hlavičiek pri ľubovoľnom prístupe k archívu pomocou API ZipArchive a pri extrakcii dát v streamovom režime pomocou API ZipStreamReader. Spracovateľ ZipArchive sa spolieha na hlavičku CDFH (Central Directory File Header), zatiaľ čo ZipStreamReader pri extrakcii súborov považuje za prioritnejšiu hlavičku LFH (Local File Header) bez synchronizácie duplicitných metadát.
Zraniteľnosť môže byť použitá na obídenie poštových filtrov, antivírusových skenerov a iných systémov kontroly bezpečnosti. Útočník môže umiestniť do viditeľnej časti archívu dokument alebo obrázok, a do skrytej zahrnúť spúšťací súbor s malvérom, ktorý nebude detegovaný antivírusom, ale bude zachovaný na disku pri rozbalení používateľom. Príklady útokov sa uvádzajú na mikroservices, platformy SaaS a systémy kontajnerovej izolácie, pri ktorých pri rozbalení v adresároch s pracovnými projektmi nepredstavujúcimi nebezpečenstvo, napríklad so štýlovými sadami, textovými súbormi alebo obrázkami, môžu byť prepísané skripty a spúšťacie súbory.
Okrem toho je možné spomenúť zraniteľnosť (CVE-2026-96889) v knižnici librsvg, ktorá je vyvíjaná projektom GNOME v jazyku Rust. Knižnica sa používa v GTK a aplikáciách GNOME na vykresľovanie SVG a je zapojená v obľúbenom NPM balíku sharp, ktorý má 80 miliónov sťahovaní týždenne a je používaný ako závislosť takmer 11 tisíc projektov. Zraniteľnosť umožňuje vykonávanie vlastného kódu pri spracovaní špeciálne vytvorených SVG obrázkov. Problém bol odstránený vo verziách librsvg 2.56.6, 2.60.3, 2.62.4 a 2.63.1, ako aj v NPM balíku sharp 0.35.5. Medzi zasiahnutými projektmi bola platforma PeerTube (závislosť bola aktualizovaná v dnešnom vydaní PeerTube 8.3.2).
Na analýzu XML značkovania používaného v SVG súboroch sa v librsvg používajú funkcie z C knižnice libxml2. Zraniteľnosť je spôsobená tým, že ak existujú v SVG vnorené XML konštrukcie Xincludes, ktoré obsahujú duplicované prvky s opakujúcimi sa názvami, dochádza k prístupu k pamäti po jej uvoľnení. Chyba nastáva, pretože knižnica librsvg uvoľňuje pamäť pre XML prvky, ktoré sú ešte stále používané v analyzátore libxml2.
Zdroj: opennet.ru
