Уязвимост в библиотеките на Rust за формата TAR, водеща до разархивиране на файлове от вложен архив

В написаната на езика Rust библиотека async-tar, предоставяща функции за четене и записване на tar архиви, е открита уязвимост (CVE-2025-62518, кодово име TARmageddon), която позволява при разопаковане на специално оформен tar архив не само да се изтеглят файловете в него, но и файлове, съдържащи се в вложен tar архив. Уязвимостта може да бъде използвана за заобикаляне на системите за верификация на архиви и разопаковане на файлове, за които не е направена проверка.

Уязвимостта също се проявява в форкове на библиотеката async-tar, като tokio-tar, krata-tokio-tar и astral-tokio-tar, както и в утилити на тяхна основа, например, в пакетния мениджър uv, разработван като високопроизводителна алтернатива на „pip“ за проекти на езика Python. От популярните проекти, използващи уязвими библиотеки, също се забелязват инструментариумът testcontainers за стартиране на docker контейнери и WebAssembly runtime wasmCloud. В репозитория crates.is библиотеката async-tar е натрупала 1.3 милиона сваляния за последните 90 дни, tokio-tar — 2.2 милиона, testcontainers — 2.9 милиона.

Уязвимостта е причинена от некоректния избор на позиция при разбор на различни стойности на размер в заглавките ustar и PAX. В tar архивите в PAX формат за всеки файл в архива се указват два заглавия — класическото ustar и разширеното PAX. Проблемата произтича от факта, че уязвимите библиотеки при разопаковане на файлове вместо да изчисляват отместването на базата на размера от разширеното заглавие PAX, вземат размера от остарялото заглавие ustar. При нулева стойност на размера в заглавието ustar, идващото след него съдържание на файла се обработва като валиден блок TAR заглавия за следващия файл.

За извършване на атака е достатъчно да се създаде TAR архив, в който в ustar заглавието е указана нулева стойност, а в заглавието за PAX актуалният размер, поради което съдържанието на файл с друг tar архив ще бъде обработено като част от основния архив. Примерен код за създаване на подобни архиви е разположен на GitHub. Уязвимостта е отстранена в версиите tokio-tar 0.5.6 и uv 0.9.5. За останалите библиотеки поправки все още не са публикувани, но за astral-tokio-tar, async-tar и krata-tokio-tar са подготвени отделни пачове.

Уязвимостите в библиотеките са оценени с опасност 8.1 от 10, тъй като проблемата може да се използва за записване на файлове, разопаковани от архиви (в уязвимите реализации ще бъдат разопаковани не тези файлове, които са били видими в архива). Въпреки това, уязвимостта в пакетния мениджър uv е маркирана като неопасна, тъй като ако атакуващият може да влияе на съдържанието на изходния архив, няма смисъл да се усложнява атаката и да се експлоатира уязвимостта чрез вложен архив, когато може да се постигне изпълнение на код чрез сборни сценарии в основния архив.

Изследователите, открили уязвимостта, предложиха няколко хипотетични сценария на атака, които позволяват заобикаляне на проверките за сигурност и постигане на изпълнение на код чрез подмяна на конфигурационни файлове или намеса в сборния процес. Предполага се, че изпратеният архив ще може да премине автоматизирана проверка от скенера за сигурност и ръчен одит, при който проверяващият няма да обърне внимание на странния вложен архив с други файлове, след което при разопаковане с помощта на Rust библиотеките от архива ще бъде извлечено различно съдържание от очакваното.

Например, атакуващият може да качи модифициран архив в репозитория PyPI, който ще премине проверка, основана на анализа на съдържанието на основния архив, съдържащ легитимен файл pyproject.toml. При обработка на този пакет с помощта на утилита uv легитимният pyproject.toml ще бъде заменен с вредоносен вариант от вложения архив, съдържащ команди, които ще бъдат изпълнени при сборка на компютъра на разработчика или в системата за непрекъсната интеграция. По подобен начин може да се организира перезапис на файловете на контейнера при извличане на образа на контейнера с помощта на инструментария testcontainers.

Източник: opennet.ru