SzafirHost fidarsi del parser sbagliato apre la strada all’RCE
Il problema non è che l’archivio sia firmato. Il problema è che SzafirHost decide cosa è sicuro con un parser e poi estrae il contenuto con un altro: così una libreria nativa non verificata può passare la firma e finire caricata. In questo schema, la fiducia nel pacchetto non copre davvero ciò che viene scritto sul disco.
CERT Polska ha disclosure di CVE-2026-13165 e indica la correzione in SzafirHost 1.2.2. La verifica guarda il Central Directory del JAR, l’estrattore legge in sequenza i local file header: un archivio controllato dall’attaccante può quindi includere una DLL, SO o DYLIB maligna fuori dal punto in cui passa il controllo, con esito potenziale di remote code execution.