「zip2」の脆弱性 CVE-2026-115905

どんな危険があるか

Rustのzipライブラリにおいて、ZIPアーカイブのセントラルディレクトリとローカルファイルヘッダー間でファイル名が整合しない場合に脆弱性が存在します。巧妙に細工されたZIPアーカイブは、セントラルディレクトリを検査するコンポーネントでは無害に見えますが、ストリーミング抽出時には異なるファイル名でファイルが書き込まれます。これにより、攻撃者が選択した任意のパスにファイルを上書きされ、ダウンストリームサービスで利用される重要なファイルが改ざんされる可能性があります。最悪の場合、リモートからのコード実行 (RCE) に繋がる恐れがあります。

今すぐやること

本脆弱性はzipライブラリのバージョン9.0.5で修正されています。影響を受けるバージョン（9.0.4以前）のzipライブラリを使用している場合は、速やかにバージョン9.0.5以降にアップデートしてください。アプリケーションの依存関係を確認し、利用しているzipライブラリのバージョンが9.0.5未満でないか確認することが重要です。