V knjižnici zip-rs, napisani v programskem jeziku Rust in s približno 10 milijoni prenosov na teden, je bila odkrita ranljivost (CVE-2026-115905), ki omogoča ustvarjanje arhivov, ki izgledajo neškodljivo, vendar se ob razpakiranju iz njih izvlečejo drugi, prvotno nevidni v seznamu, datoteke. Datoteke so lahko nameščene v arhivu zunaj strukture 'Central Directory', zaradi česar se ob ogledu seznama datotek prikaže ena vsebina, vendar se ob razpakiranju preko API-ja ZipStreamReader izvlečejo druge datoteke. Težavi je dodeljena stopnja nevarnosti 10 od 10. Ranljivost je bila odpravljena v različici zip-rs 9.0.5.
Ranljivost je povzročena z uporabo različnih glav pri naključnem dostopu do arhiva preko API-ja ZipArchive in pri izvleku podatkov v stream mode preko API-ja ZipStreamReader. Obdelovalec ZipArchive se opira na glavo CDFH (Central Directory File Header), medtem ko ZipStreamReader pri izvleku datotek šteje glavo LFH (Local File Header) za bolj prioritetno brez sinhronizacije podvojenih metapodatkov.
Ranljivost se lahko izkoristi za zaobvodenje e-poštnih filtrov, antivirusnih skenerjev in drugih sistemov za preverjanje varnosti. Napadalec lahko v vidni del arhiva postavi dokument ali sliko, v skriti del pa izvršilno datoteko z zlonamernim kodom, ki bo ostala neopažena s strani antivirusnih programov, vendar bo shranjena na disk ob razpakiranju s strani uporabnika. Kot primeri se navajajo napadi na mikroservise, SaaS-platforme in sisteme vsebinske izolacije, kjer lahko ob razpakiranju v mapah z delovnimi projekti, ki ne predstavljajo nevarnosti, arhivi, na primer s stili, besedilnimi datotekami ali slikami, prepišejo skripte in izvršilne datoteke.
Dodatno se može primetiti ranjivost (CVE-2026-96889) u biblioteci librsvg, koju razvija projekat GNOME na jeziku Rust. Biblioteka se koristi u GTK i GNOME aplikacijama za renderovanje SVG, kao i u popularnom NPM paketu sharp, koji beleži 80 miliona preuzimanja nedeljno i koristi se kao zavisnost u skoro 11 hiljada projekata. Ranjivost omogućava izvođenje vlastitog koda prilikom obrade posebno oblikovanih SVG slika. Problem je rešen u verzijama librsvg 2.56.6, 2.60.3, 2.62.4 i 2.63.1, kao i u NPM paketu sharp 0.35.5. Među pogođenim projektima našla se platforma PeerTube (zavisnost je ažurirana u današnjem izdanju PeerTube 8.3.2).
Za analizu XML označavanja korišćenog u SVG datotekama, librsvg koristi funkcije iz C biblioteke libxml2. Ranjivost je izazvana time što, kada u SVG-u postoje ugnježdene XML strukture Xincludes koje uključuju duplicirane elemente sa ponovljenim imenima, dolazi do pristupa memoriji nakon njenog oslobađanja. Greška se javlja jer biblioteka librsvg oslobađa memoriju za XML elemente koji se još uvek koriste u parseru libxml2.
Izvor: opennet.ru
