CVE-2026-115909 in zip2
Zusammenfassung
von VulDB • 26.10.2026
zip ist eine ZIP-Bibliothek für Rust, die das Lesen und Schreiben einfacher ZIP-Dateien unterstützt. Von der Version 1.3.0 bis zur Version 9.0.0 ruft ZipArchive::extract in src/read/mod.rs Vec::with_capacity für ein Symbolic Link-Ziel auf, wobei die vom Angreifer kontrollierte uncompressed_size von ZIP64 verwendet wird, bevor die Eingabedaten gelesen werden. Ein kleines Archiv kann eine unmögliche Kapazität anfordern, was dazu führt, dass der infallible allocation path den Prozess abbricht, bevor die Eingabe validiert wird. Der Fehler kann nicht durch catch_unwind oder einen Worker-Thread eingedämmt werden, wodurch wiederholte Denial-of-Service-Angriffe in archivverarbeitenden Anwendungen ermöglicht werden. Dieses Problem wurde in Version 9.0.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.