{"id":184011,"date":"2026-10-27T11:40:44","date_gmt":"2026-10-27T09:40:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/uyazvimosti-v-rust-bibliotekah-zip-rs-i-librsvg"},"modified":"2026-10-27T11:40:49","modified_gmt":"2026-10-27T09:40:49","slug":"vulnerabilities-in-rust-libraries-zip-rs-and-librsvg","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/vulnerabilities-in-rust-libraries-zip-rs-and-librsvg","title":{"rendered":"S\u00e5rbarheter i Rust-biblioteken zip-rs och librsvg","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I biblioteket zip-rs, som \u00e4r skrivet i Rust och har cirka 10 miljoner nedladdningar i veckan, har en s\u00e5rbarhet (CVE-2026-115905) identifierats. Denna s\u00e5rbarhet g\u00f6r det m\u00f6jligt att skapa arkiv som ser ofarliga ut, men vid uppackning extraheras andra filer som fr\u00e5n b\u00f6rjan inte visades i listan. Filerna kan placeras i arkivet utanf\u00f6r strukturen «Central Directory», vilket g\u00f6r att en inneh\u00e5ll visas i fillistan, men vid uppackning via API:n ZipStreamReader extraheras andra filer. Problemet har tilldelats en fara niv\u00e5 p\u00e5 10 av 10. S\u00e5rbarheten har \u00e5tg\u00e4rdats i version zip-rs 9.0.5.<\/p>\n
S\u00e5rbarheten orsakas av anv\u00e4ndningen av olika rubriker vid godtycklig \u00e5tkomst till arkivet med API:et ZipArchive och vid extrahering av data i str\u00f6mmande l\u00e4ge med API:et ZipStreamReader. ZipArchive-hanteraren f\u00f6rlitar sig p\u00e5 CDFH-huvudet (Central Directory File Header), medan ZipStreamReader vid extrahering av filer anser att LFH-huvudet (Local File Header) har h\u00f6gre prioritet utan att synkronisera dubblettmetadata.<\/p>\n
S\u00e5rbarheten kan utnyttjas f\u00f6r att kringg\u00e5 e-postfilter, antivirusprogram och andra s\u00e4kerhetskontrollsystem. En angripare kan placera ett dokument eller en bild i den synliga delen av arkivet, medan en k\u00f6rbar fil med skadlig kod kan placeras i den dolda delen, vilket inte uppt\u00e4ckts av antivirusprogrammet, men som kommer att sparas p\u00e5 disken vid dekomprimering av anv\u00e4ndaren. Exempel p\u00e5 attacker inkluderar angrepp mot mikrotj\u00e4nster, SaaS-plattformar och containermilj\u00f6er, d\u00e4r skript och k\u00f6rbara filer kan skrivas \u00f6ver i arbetsprojektens kataloger genom att dekomprimera arkiv som tycks vara ofarliga, till exempel med stilmallset, textfiler eller bilder.<\/p>\n
Det \u00e4r v\u00e4rt att notera en s\u00e5rbarhet (CVE-2026-96889) i biblioteket librsvg, utvecklat av GNOME-projektet p\u00e5 Rust-spr\u00e5ket. Biblioteket anv\u00e4nds i GTK och GNOME-appar f\u00f6r att rendera SVG, och det \u00e4r ocks\u00e5 involverat i det popul\u00e4ra NPM-paketet sharp, som har 80 miljoner nedladdningar i veckan och anv\u00e4nds som beroende av n\u00e4stan 11 000 projekt. S\u00e5rbarheten g\u00f6r det m\u00f6jligt att exekvera egen kod vid hantering av s\u00e4rskilt utformade SVG-bilder. Problemet har \u00e5tg\u00e4rdats i versioner av librsvg 2.56.6, 2.60.3, 2.62.4 och 2.63.1, samt i NPM-paketet sharp 0.35.5. Bland de drabbade projekten finns plattformen PeerTube (beroendet har uppdaterats i dagens utg\u00e5va av PeerTube 8.3.2).<\/p>\n
F\u00f6r att analysera XML-m\u00e4rkning som anv\u00e4nds i SVG-filer, anv\u00e4nder librsvg funktioner fr\u00e5n C-biblioteket libxml2. S\u00e5rbarheten orsakas av att n\u00e4r det finns inb\u00e4ddade XML-konstruktioner Xincludes i SVG som inkluderar dubblett-element med upprepade namn, uppst\u00e5r ett minnesanrop efter att minnet har frigjorts. Krasch intr\u00e4ffar eftersom biblioteket librsvg frig\u00f6r minnet f\u00f6r XML-elementen som fortfarande anv\u00e4nds i libxml2-parsaren. \n K\u00e4lla: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"