zip2で細工されたZIPを展開すると処理が停止しサービス妨害を受ける脆弱性
Summary
zip2の1.3.0から9.0.0より前の版には、シンボリックリンクの参照先の処理に問題があり、細工されたZIPファイルを展開すると、メモリの確保に失敗してプロセスが異常終了するおそれがあります。CVSS v3.1のスコアは7.5（高）で、アーカイブを処理するアプリケーションでは繰り返しサービス妨害を受けるおそれがあります。修正版は9.0.0です。zip2を利用している場合は、9.0.0以降に更新してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
zip2の1.3.0から9.0.0より前の版には、シンボリックリンクの参照先の処理に問題があり、細工されたZIPファイルを展開すると、メモリの確保に失敗してプロセスが異常終了するおそれがあります。CVSS v3.1のスコアは7.5（高）で、アーカイブを処理するアプリケーションでは繰り返しサービス妨害を受けるおそれがあります。修正版は9.0.0です。zip2を利用している場合は、9.0.0以降に更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| zip-rs | zip2 | — | — |
Original description The description as published by the source.
zip is a zip library for Rust that supports reading and writing simple ZIP files. From 1.3.0 until 9.0.0, ZipArchive::extract in src/read/mod.rs calls Vec::with_capacity for a symbolic link target using the attacker-controlled ZIP64 uncompressed_size before reading entry data. A small archive can request an impossible capacity, causing the infallible allocation path to abort the process before the entry is validated. The failure cannot be contained with catch_unwind or a worker thread, allowing repeated denial of service in archive-processing applications. This issue is fixed in version 9.0.0.
Source: CVE.org (CVE Program・cvelistV5) NVD