CVE-2026-115909: ZIP dosyalarında sınırsız sembolik bağlantı sorunu

ZIP dosyalarını işleyen yazılımlarda yeni bir güvenlik açığı bulundu. CVE-2026-115909 (GHSA-q7v9-x93c-xqv3), ZIP arşivlerindeki sembolik bağlantılar (symlink) işlenirken sınırsız bellek tahsisine izin veriyor. Bu, kötü niyetli bir ZIP dosyasının sistemi bellek tüketimine zorlayarak hizmet reddi (DoS) saldırısına neden olabileceği anlamına geliyor.

Açığın kökü, ZIP dosyası içindeki sembolik bağlantı hedeflerinin boyutu kontrol edilmeden bellekle ilişkilendirilmesi. Saldırgan, hedef yolunu istenilen kadar uzun yaparak bellek kullanımını patlatabilir. Özellikle sunucu tarafında otomatik ZIP çıkarma işlemi yapan uygulamalar risk altında.

Rust ekosistemindeki ilgili kütüphaneler 9.0.0 sürümüyle güncellenmiştir. Güvenlik danışmanları bu sürümün bellek tahsisine sınır getirdiğini ve açığı kapattığını belirtiyor. Eğer ZIP dosyalarını işleyen bir Rust projesi kullanıyorsan, bağımlılıklarını kontrol et ve gerekirse güncelle.

Bu tür açıklar, girdileri doğrulama ve kaynak limitleri koymak ne kadar kritik olduğunu gösteriyor. Özellikle dış kaynaklardan gelen dosyaları işlerken, boyut ve yapı kontrolleri her zaman gerekli.