CVE-2026-115905: Zip Cloaking in Rust, sovrascrittura file

Il CVE-2026-115905 colpisce la libreria zip per Rust, ampiamente utilizzata in applicazioni che gestiscono archivi compressi. La vulnerabilità è una discrepanza critica: ZipArchive legge metadati dal Central Directory File Header, mentre ZipStreamReader estrae i file usando il Local File Header. Un archivio artefatto può sembrare sicuro al controllo della directory centrale, ma durante l'estrazione scrive su percorsi e contenuti diversi, causando sovrascrittura di file.

La vulnerabilità ha punteggio CVSS 10,0, valutazione massima e critica. La correzione è disponibile nella versione 9.0.5 rilasciata dopo la scoperta. I segnali pubblici sono limitati: 3 post sui social nelle ultime 24 ore con sole 2 interazioni totali, indice di consapevolezza ancora contenuta ma coerente con la pubblicazione del 26 ottobre 2026. Non sono segnalati exploit pubblici confermati.

Per le organizzazioni: verificare immediatamente se zip è presente nelle dipendenze Rust con strumenti come 'cargo tree' e 'cargo audit'. Se presente, aggiornare a 9.0.5 o successiva senza ritardo. Nel breve termine, controllare gli accessi a script e servizi che estraggono archivi ZIP, specialmente quelli che elaborano upload esterni. Monitorare i file system per rilevare sovrascritture non previste.