Decompression bomb в ruzstd: крошечный вход исчерпывает память (OOM)

В чистом Rust-декодере zstd ruzstd — «бомба распаковки»: подобранный небольшой вход разворачивается в огромный объём и исчерпывает память процесса. CVSS 7.5, выпущено 13 октября 2026 года.

Суть

Сжатый .zst-файл с крошечным размером содержит данные, которые при распаковке требуют критически больших аллокаций. Приложение, раскрывающее непроверенные архивы — например, из сети, — может быть остановлено атакой на доступность (исчерпание памяти).

Что делать

Исправлено в версии 0.9.1. Использующим ruzstd стоит обновить декодер; на практике также рекомендуется ограничить размер входа и следить за аллокациями при распаковке непроверенного ввода.

Оригинал

A crafted .zstd input can exhaust memory (OOM).