- Yama var
- Son 7 gün
- CWE-20
- CWE-436
CVE-2026-115905
zip (Rust kütüphanesi): Çift başlık tutarsızlığıyla dosya üzerine yazma ve kod çalıştırma riski
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu zafiyet, dosya çıkarma işlemi yapan uygulamaların kontrolünü saldırganın eline geçirebilir ve sistemde ciddi veri kaybı ya da ele geçirilme riski doğurabilir. Kritik seviyede olduğu için etkilenen sistemlerin hemen güncellenmesi önerilir.
ÖzetTürkçe
Rust dili için geliştirilen zip kütüphanesinde, ZIP arşivlerindeki merkezi dizin ve yerel dosya başlıkları arasındaki çift metadata tutarsızlığı nedeniyle ayrıştırma farkı oluşmaktadır. ZipArchive merkezi dizindeki dosya adlarını esas alırken ZipStreamReader yerel dosya başlıklarındaki adları kullanarak çıkarma yapmaktadır. 9.0.4 ve öncesi sürümler etkilenmektedir.
Saldırgan ne yapabilir?
Saldırgan, merkezi dizinde zararsız görünen ancak akış tabanlı çıkarma sırasında farklı bir yola ve içeriğe yazılan hazırlanmış bir arşiv oluşturabilir. Bu, alt sistemlerde kullanılan dosyaların üzerine yazılmasına ve uzaktan kod çalıştırmaya yol açabilir.
Kaynaktaki açıklama (İngilizce)
zip is a zip library for Rust that supports reading and writing simple ZIP files. Through 9.0.4, ZipArchive treats Central Directory File Header filenames as authoritative while ZipStreamReader extracts using Local File Header filenames without reconciling the duplicate metadata in src/read/stream.rs. A crafted archive can therefore appear benign to a component that inspects the central directory but cause a streaming extractor to write a different attacker-selected path and content, potentially overwriting files used by a downstream service. This issue is fixed in version 9.0.5.
Ne yapmalı?
- zip kütüphanesini 9.0.5 veya üzeri bir sürüme yükseltin. Üretici
- Uygulamanızın bağımlılıklarını yeniden derleyip dağıtın ve kullanılan zip sürümünün 9.0.5 olduğunu doğrulayın. Genel öneri
- Güncelleme yapılana kadar, güvenilmeyen kaynaklardan gelen ZIP arşivlerinin ZipStreamReader ile işlenmesini durdurun. Genel öneri
Ek önlemler
- Arşiv çıkarma dizinlerini yalnızca yazma yetkisi olan, kritik sistem dosyalarından ayrı bir klasörle sınırlandırın. Genel öneri
- Yüklenen veya indirilen ZIP dosyalarını çıkarmadan önce merkezi dizin ve yerel başlıklardaki dosya adlarını karşılaştıran doğrulama ekleyin. Genel öneri
- Çıkarma işlemlerini düşük yetkili bir hizmet hesabıyla çalıştırarak olası zararı sınırlayın. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| zip-rs zip2 | < 9.0.5 | 9.0.5 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.