- Son 7 gün
- CWE-400
- CWE-789
CVE-2026-115907
zip Rust kütüphanesinde eski Shrink/Reduce/Implode çözücüsü, ZIP64 boyutu nedeniyle hizmet dışı bırakmaya yol açıyor
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
zip, basit ZIP dosyalarının okunmasını ve yazılmasını destekleyen bir Rust kütüphanesidir. 5.1.0 sürümünden 9.0.0 sürümüne kadar, legacy-zip özelliğiyle derlenmiş uygulamalar, sıkıştırılmış akışı doğrulamadan önce saldırganın kontrolündeki ZIP64 sıkıştırılmamış boyutundan çıktı için kapasite ayırabiliyor. src/legacy/shrink.rs içindeki ShrinkDecoder yolu, ZipArchive::extract sırasında kapasite taşması nedeniyle panic oluşturabiliyor. Reduce ve Implode çözücüleri de aynı sınırsız ön ayırma desenini içeriyor. Ele alınmayan bir panic, arşiv işleyen bir servisi sonlandırabilir. Bu sorun 9.0.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
zip is a zip library for Rust that supports reading and writing simple ZIP files. From 5.1.0 until 9.0.0, applications built with the legacy-zip feature can reserve output capacity from an attacker-controlled ZIP64 uncompressed size before validating the compressed stream. The ShrinkDecoder path in src/legacy/shrink.rs can panic with a capacity overflow during ZipArchive::extract, and the Reduce and Implode decoders contain the same unbounded preallocation pattern. An unhandled panic can terminate an archive-processing service. This issue is fixed in version 9.0.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| zip-rs zip2 | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.