- Son 7 gün
- CWE-354
- CWE-1284
CVE-2026-115906
zip Rust kütüphanesinde AES girdilerinde dosya sonu erken geldiğinde HMAC kimlik doğrulaması atlanabilir
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
zip, basit ZIP dosyalarını okuma ve yazma desteği sunan bir Rust kütüphanesidir. 0.6.0 sürümünden 9.0.0 sürümüne kadar, src/aes.rs içindeki AES girdi okuyucusu HMAC doğrulamasını yalnızca saldırgan kontrolündeki veri sayacı sıfıra ulaştığında yapmaktadır. Sınırlı okuyucu arşivin gerçek sonuna ulaştığında ve data_remaining değeri hâlâ pozitifken ya da şifreli bir girdinin yükü yoksa, okuyucu kimlik doğrulama etiketini okuyup karşılaştırmadan temiz bir akış sonu döndürebilir. Bu nedenle by_index_decrypt, by_name_decrypt, by_path_decrypt veya parola etkin by_index_with_options fonksiyonlarını kullanan uygulamalar, değiştirilmiş düz metni kimlik doğrulama hatası vermeden kabul edebilir. Sorun 9.0.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
zip is a zip library for Rust that supports reading and writing simple ZIP files. From 0.6.0 until 9.0.0, the AES entry reader in src/aes.rs verifies its HMAC only when the attacker-controlled data counter reaches zero. If the underlying bounded reader reaches the real end of the archive while data_remaining is still positive, or if an encrypted entry has no payload, the reader can return a clean end of stream without reading and comparing the authentication tag. Applications using by_index_decrypt, by_name_decrypt, by_path_decrypt, or password-enabled by_index_with_options can therefore accept modified plaintext without an authentication error. This issue is fixed in version 9.0.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| zip-rs zip2 | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.