CVE-2026-115906: обход HMAC в Rust-крейте zip при AES-шифровании

В крейте zip для Rust (zip-rs/zip2) версий 0.6.0–9.0.0 нашли обход аутентификации HMAC-SHA1-80 при расшифровке AES-записей WinZip AE-x. При преждевременном EOF или нулевой длине данных тег не проверяется, что позволяет подменять зашифрованное содержимое без пароля. Уязвимость исправлена в версии 9.0.0.

• CVSS 6.5, затронуты версии zip от 0.6.0 до 9.0.0
• HMAC не проверяется при раннем EOF или пустой записи
• Исправление в zip 9.0.0, есть PoC в тестах