zip: Header-Inkonsistenz beim Streaming-Entpacken erlaubt Überschreiben von Dateien
Zusammenfassung
Die zip-Crate für Rust, eine Bibliothek zum Lesen und Schreiben von ZIP-Dateien, behandelt doppelte Dateinamen uneinheitlich. ZipArchive verwendet den Central Directory Header, ZipStreamReader hingegen den Local File Header. Eine präparierte Archivdatei kann dadurch für einen Scanner harmlos wirken, während ein Streaming-Entpacker Inhalte an einen vom Angreifer gewählten Pfad schreibt. Dadurch können Dateien überschrieben werden, die ein nachgelagerter Dienst verwendet. Voraussetzung ist eine Anwendung, die nicht vertrauenswürdige Archive mit ZipStreamReader entpackt.
Betroffen
- zip (Rust-Crate, zip-rs/zip2) bis einschliesslich 9.0.4
- Ältere Versionen: unbekannt, vor einer Annahme prüfen
Behoben in
- Auf zip 9.0.5 oder neuer aktualisieren
Umgehung
Unbekannt. Der Hersteller hat keine Workaround-Massnahme veröffentlicht.
- ZipStreamReader für nicht vertrauenswürdige Archive vermeiden
- Dateinamen aus Local File Header und Central Directory vor dem Entpacken vergleichen
- Entpacken nur in ein Verzeichnis ohne Schreibrechte auf Dienstdateien
Ausnutzung
- Nicht im CISA KEV gelistet (laut Aggregatoren; cisa.gov nicht direkt geprüft)
- Nicht bekanntermassen in freier Wildbahn ausgenutzt
- Ein öffentliches Proof-of-Concept-Repository existiert, beschrieben als reiner Detection-Scanner; nicht verifiziert
Unsere Empfehlung
- Rust-Anwendungen und Cargo.lock-Dateien auf zip 9.0.4 oder älter prüfen
- Internetseitig erreichbare ZIP-Upload- oder Importfunktionen priorisieren und prüfen, ob sie ZipStreamReader verwenden
- Auf zip 9.0.5 oder neuer aktualisieren und auf Regressionen testen
- Auf Herstellerupdates achten
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (2 Repositories)
foxcornlab/zip-cloaking-scanner · cosmonic-labs/demo-zip-rce-sandbox
Quellen der Recherche
- GitHub Security Advisory GHSA-m665-v7pm-7grj github.com
- zip2 Release v9.0.5 github.com
- zip2 fix commit 8068ab4 github.com
- OSV GHSA-m665-v7pm-7grj osv.dev
- CVE-2026-115905 on cve.now cve.now
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.