CVE-2026-115906
zip: AES Entry HMAC Authentication Bypass on Premature EOF
CVSS 3.1Medium
6.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 9.0.0
Обновите крейт zip до версии 9.0.0 или выше.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Обход аутентификации HMAC при обработке преждевременного EOF в Rust-библиотеке zip. Позволяет подменить зашифрованные данные без вызова ошибки целостности.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
В версиях 0.6.0–9.0.0 обработчик AES-записей в src/aes.rs сверяет HMAC только при обнулении счетчика данных, контролируемого атакующим. При достижении реального конца архива до обнуления data_remaining или при отсутствии полезной нагрузки ридер возвращает чистый EOF без сверки authentication tag.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Приложения, использующие by_index_decrypt, by_name_decrypt, by_path_decrypt или by_index_with_options с паролем, принимают модифицированный открытый текст без генерации ошибки аутентификации.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
zip-rszip2
>= 0.6.0➔Fix: 9.0.0
——
>= 0.6.0➔Fix: 9.0.0
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (3)
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-115906: zip: AES Entry HMAC Authentication Bypass on Premature EOF. URL: https://cve.futuretools.ru/cve/CVE-2026-115906
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_115906,
title = {{CVE-2026-115906: zip: AES Entry HMAC Authentication Bypass on Premature EOF}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-115906}},
note = {Оперативный инженерный анализ киберугроз}
}