これはzip暗号化のバグですか？

パスワードを知らなくても暗号化されたzipファイルを再暗号化できるエクスプロイトを最近発見しました。

#zip --encrypt encrypted.zip -r dir1/

上記はユーザーに新しいパスワードを入力するように促します。不足しているものはありますか、またはこれは既知の問題ですか？

Zipアーカイブには、含まれるファイルごとに複数のパスワードを設定できます。アーカイブ内のファイルは基本的に互いに独立しています。他のファイルに関係なく圧縮され、同じ方法で暗号化されます。あなたのencrypted.zip2つ（またはそれ以上）の暗号化されたセグメント、1元のパスワードを使用して、新しいものを持つものを持っています。

unzipファイルにアクセスしようとすると、両方のパスワードの入力が求められます。

$ unzip ../test.zip
Archive:  ../test.zip
[../test.zip] file1 password:
  inflating: file1
  inflating: file2
[../test.zip] newfile password:
  inflating: newfile

ディレクトリ、つまりファイル名のリストは暗号化されていません。これはバグではありませんが、混乱を招く可能性があり、すべてのzipツールが状況をうまく処理できるわけではありません（特にグラフィカルツール）。