Rust tilida yozilgan va haftasiga taxminan 10 million marta yuklab olingan zip-rs kutubxonasida zaiflik (CVE-2026-115905) aniqlandi. Ushbu zaiflik zararsiz ko'rinadigan arxivlarni yaratishga imkon beradi, ammo paketdan chiqarilganda bog'liq bo'lmagan fayllar ajratib olinadi. Fayllarni "Markaziy katalog" tuzilmasidan tashqaridagi arxivga joylashtirish mumkin, bu esa fayllar ro'yxatida bir xil tarkibni ko'rsatishga olib keladi, ammo ZipStreamReader API yordamida paketdan chiqarilganda bog'liq bo'lmagan fayllar ajratib olinadi. Muammoga 10 balldan 10 ball jiddiylik darajasi berilgan. Zaiflik zip-rs 9.0.5 da tuzatilgan.
Zaiflik ZipArchive API yordamida tasodifiy arxivga kirish paytida va ZipStreamReader API yordamida ma'lumotlarni oqimli olish paytida turli sarlavhalardan foydalanish natijasida yuzaga keladi. ZipArchive ishlov beruvchisi CDFH (Markaziy katalog fayl sarlavhasi) sarlavhasiga tayanadi, ZipStreamReader esa takroriy metama'lumotlarni sinxronlashtirmasdan fayllarni olishda LFH (Mahalliy fayl sarlavhasi) sarlavhasiga ustuvorlik beradi.
Ushbu zaiflik pochta filtrlari, antivirus skanerlari va boshqa xavfsizlik tizimlarini chetlab o'tish uchun ishlatilishi mumkin. Hujumchi hujjat yoki tasvirni arxivning ko'rinadigan qismiga joylashtirishi va yashirin qismga zararli kodni o'z ichiga olgan bajariladigan faylni joylashtirishi mumkin. Ushbu bajariladigan fayl antivirus dasturi tomonidan aniqlanmaydi, lekin foydalanuvchi tomonidan ochilganda diskka saqlanadi. Bunga misollar sifatida mikroservislar, SaaS platformalari va konteyner izolyatsiya tizimlariga qilingan hujumlarni keltirish mumkin, bunda zararsiz arxivlarni (masalan, uslublar jadvallari, matnli fayllar yoki rasmlar) ishchi loyihalarni o'z ichiga olgan kataloglarga ochish skriptlar va bajariladigan fayllarni qayta yozishi mumkin.
Yana bir zaiflik (CVE-2026-96889) Rustdagi GNOME loyihasi tomonidan ishlab chiqilgan librsvg kutubxonasida mavjud. Kutubxona GTK va GNOME ilovalarida SVG renderlash uchun ishlatiladi va shuningdek, haftasiga 80 million marta yuklab olinadigan va deyarli 11 000 ta loyiha tomonidan qaramlik sifatida ishlatiladigan mashhur sharp NPM paketiga kiritilgan. Zaiflik maxsus tayyorlangan SVG tasvirlarini qayta ishlashda maxsus kodni bajarish imkonini beradi. Muammo librsvg 2.56.6, 2.60.3, 2.62.4 va 2.63.1 versiyalarida, shuningdek, sharp NPM paketining 0.35.5 da hal qilindi. Ta'sirlangan loyihalar orasida PeerTube platformasi ham bor edi (qaramlik bugungi PeerTube 8.3.2 versiyasida yangilandi).
SVG fayllarida ishlatiladigan XML belgilarini tahlil qilish uchun librsvg libxml2 C kutubxonasidagi funksiyalardan foydalanadi. Zaiflik SVG fayllaridagi takroriy nomlarga ega takroriy elementlarni o'z ichiga olgan ichki XML Xincludes funksiyasi bo'shatilgandan so'ng xotiraga kirishga sabab bo'lgani uchun yuzaga keladi. Ishdan chiqish librsvg libxml2 tahlilchisi tomonidan hali ham foydalanilayotgan XML elementlari uchun xotirani bo'shatgani uchun yuzaga keladi.
Manba: opennet.ru
