Rust dilinde yazılmış ve haftada yaklaşık 10 milyon kez indirilen zip-rs kütüphanesinde bir güvenlik açığı (CVE-2026-115905) keşfedildi. Bu güvenlik açığı, görünüşte zararsız arşivlerin oluşturulmasına olanak tanıyor, ancak arşiv açıldığında alakasız dosyalar çıkarılıyor. Dosyalar, "Merkezi Dizin" yapısının dışında bir arşive yerleştirilebilir; bu da dosya listesinin aynı içeriği göstermesine neden olur, ancak ZipStreamReader API'si kullanılarak arşiv açıldığında alakasız dosyalar çıkarılır. Soruna 10 üzerinden 10 şiddet seviyesi atanmıştır. Güvenlik açığı zip-rs 9.0.5 sürümünde düzeltilmiştir.
Bu güvenlik açığı, ZipArchive API'si kullanılarak rastgele arşiv erişimi sırasında ve ZipStreamReader API'si kullanılarak akışlı veri çıkarma sırasında farklı başlıkların kullanılmasından kaynaklanmaktadır. ZipArchive işleyicisi CDFH (Central Directory File Header) başlığına dayanırken, ZipStreamReader dosyaları çıkarırken yinelenen meta verileri senkronize etmeden LFH (Local File Header) başlığına öncelik verir.
Bu güvenlik açığı, e-posta filtrelerini, virüs tarayıcılarını ve diğer güvenlik sistemlerini atlatmak için kullanılabilir. Saldırgan, bir arşivin görünür kısmına bir belge veya resim yerleştirebilir ve gizli kısmına kötü amaçlı kod içeren bir yürütülebilir dosya koyabilir. Bu yürütülebilir dosya virüs yazılımları tarafından tespit edilmeyecek, ancak kullanıcı tarafından açıldığında diske kaydedilecektir. Örnekler arasında mikro hizmetlere, SaaS platformlarına ve konteyner izolasyon sistemlerine yönelik saldırılar yer almaktadır; burada zararsız arşivlerin (stil sayfaları, metin dosyaları veya resimler gibi) iş projelerini içeren dizinlere açılması, komut dosyalarının ve yürütülebilir dosyaların üzerine yazılmasına neden olabilir.
GNOME projesi tarafından Rust dilinde geliştirilen librsvg kütüphanesinde başka bir güvenlik açığı (CVE-2026-96889) bulundu. Bu kütüphane, GTK ve GNOME uygulamalarında SVG görselleştirmesi için kullanılıyor ve ayrıca haftada 80 milyon kez indirilen ve yaklaşık 11 proje tarafından bağımlılık olarak kullanılan popüler sharp NPM paketinde de yer alıyor. Güvenlik açığı, özel olarak hazırlanmış SVG görselleri işlenirken özel kod yürütülmesine olanak tanıyor. Sorun, librsvg'nin 2.56.6, 2.60.3, 2.62.4 ve 2.63.1 sürümlerinde ve sharp NPM paketinin 0.35.5 sürümünde düzeltildi. Etkilenen projeler arasında PeerTube platformu da vardı (bağımlılık, PeerTube 8.3.2'nin bugünkü sürümünde güncellendi).
SVG dosyalarında kullanılan XML işaretlemesini ayrıştırmak için librsvg, libxml2 C kütüphanesindeki fonksiyonları kullanır. Güvenlik açığı, SVG dosyalarındaki iç içe geçmiş XML Xinclude'larının, tekrarlanan adlara sahip yinelenen öğeler içermesi ve bellek serbest bırakıldıktan sonra belleğe erişime neden olması nedeniyle oluşur. Çökme, librsvg'nin libxml2 ayrıştırıcısı tarafından hala kullanımda olan XML öğeleri için belleği serbest bırakması nedeniyle meydana gelir.
Kaynak: opennet.ru
