В zip-rs — уязвимость с оценкой 10 из 10: архив показывает одни файлы, а распаковывает другие

В библиотеке zip-rs, написанной на Rust и насчитывающей около 10 миллионов загрузок в неделю, обнаружена уязвимость CVE-2026-115905 с максимальной оценкой опасности 10 из 10. Она позволяет создавать архивы, которые при просмотре списка показывают одно содержимое, а при распаковке извлекают совершенно другие файлы.

Механика

Проблема в расхождении двух API: ZipArchive при произвольном доступе опирается на заголовок CDFH (Central Directory File Header), а ZipStreamReader при потоковом извлечении приоритизирует заголовок LFH (Local File Header), не синхронизируя дублирующие метаданные. Файлы размещаются вне структуры «Central Directory» и в списке не видны, но при распаковке через ZipStreamReader извлекаются на диск.

Сценарий атаки

Уязвимость обходит почтовые фильтры и антивирусные сканеры: в видимой части архива лежит безобидный документ или изображение, а в скрытой — исполняемый файл. При распаковке в каталогах с рабочими проектами перезаписываются скрипты и бинарники. Исправлено в версии 9.0.5.

Дополнительно сообщается об уязвимости CVE-2026-96889 в библиотеке librsvg проекта GNOME.

Оригинал

Уязвимости в Rust-библиотеках zip-rs и librsvg (opennet.ru)