I zip-rs-bibliotek, skriven i Rust och med cirka 10 miljoner nedladdningar per vecka, har en sÄrbarhet identifierats (CVE-2026-115905) som gör det möjligt att skapa arkiv som verkar ofarliga, men vid dekomprimering extraheras andra filer som inte ursprungligen visas i listan. Filer kan placeras i arkivet utanför strukturen för "Central Directory", vilket gör att nÀr man granskar filerna visas ett innehÄll, men vid dekomprimering genom API:et ZipStreamReader extraheras andra filer. Problemet har tilldelats en risknivÄ pÄ 10 av 10. SÄrbarheten Àr ÄtgÀrdad i version zip-rs 9.0.5.
SÄrbarheten orsakas av anvÀndningen av olika rubriker vid godtycklig Ätkomst till arkivet med API:et ZipArchive och vid extrahering av data i strömmande lÀge med API:et ZipStreamReader. ZipArchive-hanteraren förlitar sig pÄ CDFH-huvudet (Central Directory File Header), medan ZipStreamReader vid extrahering av filer anser att LFH-huvudet (Local File Header) har högre prioritet utan att synkronisera dubblettmetadata.
SÄrbarheten kan utnyttjas för att kringgÄ e-postfilter, antivirusprogram och andra sÀkerhetskontrollsystem. En angripare kan placera ett dokument eller en bild i den synliga delen av arkivet, medan en körbar fil med skadlig kod kan placeras i den dolda delen, vilket inte upptÀckts av antivirusprogrammet, men som kommer att sparas pÄ disken vid dekomprimering av anvÀndaren. Exempel pÄ attacker inkluderar angrepp mot mikrotjÀnster, SaaS-plattformar och containermiljöer, dÀr skript och körbara filer kan skrivas över i arbetsprojektens kataloger genom att dekomprimera arkiv som tycks vara ofarliga, till exempel med stilmallset, textfiler eller bilder.
Det Àr vÀrt att notera en sÄrbarhet (CVE-2026-96889) i biblioteket librsvg, utvecklat av GNOME-projektet pÄ Rust-sprÄket. Biblioteket anvÀnds i GTK och GNOME-appar för att rendera SVG, och det Àr ocksÄ involverat i det populÀra NPM-paketet sharp, som har 80 miljoner nedladdningar i veckan och anvÀnds som beroende av nÀstan 11 000 projekt. SÄrbarheten gör det möjligt att exekvera egen kod vid hantering av sÀrskilt utformade SVG-bilder. Problemet har ÄtgÀrdats i versioner av librsvg 2.56.6, 2.60.3, 2.62.4 och 2.63.1, samt i NPM-paketet sharp 0.35.5. Bland de drabbade projekten finns plattformen PeerTube (beroendet har uppdaterats i dagens utgÄva av PeerTube 8.3.2).
För att analysera XML-mÀrkning som anvÀnds i SVG-filer, anvÀnder librsvg funktioner frÄn C-biblioteket libxml2. SÄrbarheten orsakas av att nÀr det finns inbÀddade XML-konstruktioner Xincludes i SVG som inkluderar dubblett-element med upprepade namn, uppstÄr ett minnesanrop efter att minnet har frigjorts. Krasch intrÀffar eftersom biblioteket librsvg frigör minnet för XML-elementen som fortfarande anvÀnds i libxml2-parsaren.
KĂ€lla: opennet.ru
