Rustのzipに脆弱性、ファイル上書きの恐れ 修正版9.0.5あり
Summary
Rust用のZIPライブラリzipに、検査では無害に見えるのに展開すると別の場所へ別の内容を書き込むZIPを作れる脆弱性が見つかりました。外部から受け取ったZIPをRustのアプリで検査・展開している組織が対象で、修正版が出ているため、依存関係を調べて更新します。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Rust用のZIPライブラリzipに、検査では無害に見えるのに展開すると別の場所へ別の内容を書き込むZIPを作れる脆弱性が見つかりました。外部から受け取ったZIPをRustのアプリで検査・展開している組織が対象で、修正版が出ているため、依存関係を調べて更新します。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| zip-rs | zip2 | — | — |
Original description The description as published by the source.
zip is a zip library for Rust that supports reading and writing simple ZIP files. Through 9.0.4, ZipArchive treats Central Directory File Header filenames as authoritative while ZipStreamReader extracts using Local File Header filenames without reconciling the duplicate metadata in src/read/stream.rs. A crafted archive can therefore appear benign to a component that inspects the central directory but cause a streaming extractor to write a different attacker-selected path and content, potentially overwriting files used by a downstream service. This issue is fixed in version 9.0.5.
Source: CVE.org (CVE Program・cvelistV5) NVD