- Son 7 gün
- CWE-400
- CWE-789
CVE-2026-115909
zip Kütüphanesinde Sembolik Bağlantı Hedefi İşlenirken Bellek Tükenmesi ve Süreç Sonlanması
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
zip, basit ZIP dosyalarının okunmasını ve yazılmasını destekleyen bir Rust kütüphanesidir. 1.3.0 sürümünden 9.0.0 sürümüne kadar src/read/mod.rs dosyasındaki ZipArchive::extract, veri girişi okunmadan önce sembolik bağlantı hedefi için saldırgan kontrolündeki ZIP64 uncompressed_size değeriyle Vec::with_capacity çağırmaktadır. Küçük bir arşiv imkansız bir kapasite talep edebilir; bu durumda hata vermeyen ayırma yolu, giriş doğrulanmadan süreci sonlandırır. Hata catch_unwind ile veya bir iş parçacığında kapatılamadığı için, arşiv işleyen uygulamalarda tekrarlanabilir hizmet dışı bırakma saldırısına olanak tanır. Bu sorun 9.0.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
zip is a zip library for Rust that supports reading and writing simple ZIP files. From 1.3.0 until 9.0.0, ZipArchive::extract in src/read/mod.rs calls Vec::with_capacity for a symbolic link target using the attacker-controlled ZIP64 uncompressed_size before reading entry data. A small archive can request an impossible capacity, causing the infallible allocation path to abort the process before the entry is validated. The failure cannot be contained with catch_unwind or a worker thread, allowing repeated denial of service in archive-processing applications. This issue is fixed in version 9.0.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| zip-rs zip2 | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.