RUSTSEC-2026-0367: Insecure Preservation of SUID/SGID Bits during ZIP Extraction Leading to Potential Privilege Escalation
还没有人认领这个 Issue。
评估
调研方向
首先找到 zip 依赖项声明，以及使用 ZipArchive::extract() 或流提取 API 的代码路径。升级到已修补的 zip 版本（>=9.0.0），并使用项目的相关测试或专门的提取检查，验证提取的文件不再获得 SUID、SGID 或 sticky 特权位。
由索引模型根据 Issue 内容生成。
描述
Insecure Preservation of SUID/SGID Bits during ZIP Extraction Leading to Potential Privilege Escalation
| Details | |
|---|---|
| Package | zip |
| Version | 3.0.0 |
| Date | 2026-10-09 |
| Patched versions | >=9.0.0 |
The zip crate preserves privileged Unix permission bits (SUID, SGID, and sticky bits) from ZIP external_attributes during extraction, instead of masking them to safe permission bits. If a privileged process (for example, root in an installer, CI/CD pipeline, or container build) extracts an attacker-controlled ZIP archive using ZipArchive::extract() or the stream extraction API, files can be created as setuid-root or setgid. This behavior allows the creation of SUID/SGID files during extraction, which can lead to local privilege escalation depending on the execution environment.
For further details see: https://github.com/zip-rs/zip2/security/advisories/GHSA-vv5m-jxxh-4627
See advisory page for additional details.
- 主要语言
- Rust
- 星标
- 11
- 派生
- 5
- 平均合并
- 1 天 6 小时
- 30 天内合并 PR
- 1
环境准备
- 没有 Dockerfile 或 Docker Compose 文件
- 有 Pull Request 模板
- 没有贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
stackabletech/stackablectl 的其他 Issue
-
难度 1/5 1 小时以内 新手友好度 65/100
stackabletech/stackablectl#475 ·
-
难度 2/5 1-3 小时 新手友好度 60/100
stackabletech/stackablectl#468 ·
-
难度 2/5 1-3 小时 新手友好度 68/100
stackabletech/stackablectl#456 ·
-
难度 1/5 1 小时以内 新手友好度 35/100
stackabletech/stackablectl#476 ·
-
难度 2/5 1-3 小时 新手友好度 45/100
stackabletech/stackablectl#474 ·
查看 stackabletech/stackablectl 的全部 Issue
相似的 Issue
-
yara-x fails to build with rsa 0.10.0: unresolved import rsa::Pkcs1v15Sign可能已有人在做 @CfirTsabari 今天认领。 未关闭
难度 1/5 1 小时以内 新手友好度 87/100
VirusTotal/yara-x#865 ·
维护者通常 1 天内回复
-
good first issue help wanted program
难度 2/5 1-3 小时 新手友好度 83/100
hffgzktbcc-blip/ounce-core#297 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 72/100
nautechsystems/nautilus_trader#5631 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 69/100
bytecodealliance/rustix#1736 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 78/100
longbridge/gpui-kit#3871 ·
维护者通常 1 天内回复