V knjižnici zip-rs, napisani v Rustu in preneseni približno 10 milijonov-krat na teden, je bila odkrita ranljivost (CVE-2026-115905). Ta ranljivost omogoča ustvarjanje na videz neškodljivih arhivov, vendar se pri razpakiranju izvlečejo nepovezane datoteke. Datoteke je mogoče postaviti v arhiv zunaj strukture »Centralni imenik«, zaradi česar seznam datotek prikazuje isto vsebino, vendar se pri razpakiranju z uporabo API-ja ZipStreamReader izvlečejo nepovezane datoteke. Težavi je bila dodeljena stopnja resnosti 10 od 10. Ranljivost je odpravljena v različici zip-rs 9.0.5.
Ranljivost povzroča uporaba različnih glav med naključnim dostopom do arhiva z uporabo API-ja ZipArchive in med ekstrakcijo podatkov s pretakanjem z uporabo API-ja ZipStreamReader. Obdelovalec ZipArchive se zanaša na glavo CDFH (Central Directory File Header), medtem ko ZipStreamReader pri ekstrahiranju datotek daje prednost glavi LFH (Local File Header), ne da bi sinhroniziral podvojene metapodatke.
Ranljivost je mogoče uporabiti za obhod poštnih filtrov, protivirusnih pregledovalnikov in drugih varnostnih sistemov. Napadalec lahko dokument ali sliko postavi v vidni del arhiva, izvedljivo datoteko z zlonamerno kodo pa v skriti del. Protivirusna programska oprema te izvedljive datoteke ne bo zaznala, vendar jo bo uporabnik shranil na disk, ko jo bo razpakiral. Primeri vključujejo napade na mikrostoritve, platforme SaaS in sisteme za izolacijo vsebnikov, kjer lahko razpakiranje neškodljivih arhivov (kot so slogovne predloge, besedilne datoteke ali slike) v imenike, ki vsebujejo delovne projekte, prepiše skripte in izvedljive datoteke.
Druga ranljivost (CVE-2026-96889) je bila najdena v knjižnici librsvg, ki jo je razvil projekt GNOME v Rustu. Knjižnica se uporablja v aplikacijah GTK in GNOME za upodabljanje SVG-ja, vključena pa je tudi v priljubljen paket sharp NPM, ki se prenese 80 milijonovkrat na teden in ga kot odvisnost uporablja skoraj 11 projektov. Ranljivost omogoča izvajanje kode po meri pri obdelavi posebej izdelanih slik SVG. Težava je bila odpravljena v različicah librsvg 2.56.6, 2.60.3, 2.62.4 in 2.63.1 ter v paketu sharp NPM 0.35.5. Med prizadetimi projekti je bila platforma PeerTube (odvisnost je bila posodobljena v današnji izdaji PeerTube 8.3.2).
Za razčlenjevanje označevanja XML, ki se uporablja v datotekah SVG, librsvg uporablja funkcije iz knjižnice C libxml2. Ranljivost se pojavi, ker ugnezdeni XML Xincludes v datotekah SVG, ki vključujejo podvojene elemente s podvojenimi imeni, povzročijo dostop do pomnilnika po tem, ko je ta sproščen. Do zrušitve pride, ker librsvg sprosti pomnilnik za elemente XML, ki jih razčlenjevalnik libxml2 še vedno uporablja.
Vir: opennet.ru
