Уязвимост в Rust-библиотеки за формата TAR, водеща до разархивиране на файлове от вложен архив

В написаната на езика Rust библиотека async-tar, която предоставя функции за четене и запис на tar-архиви, е открита уязвимост (CVE-2025-62518, кодово име TARmageddon), която позволява при разархивиране на специално подготвен tar-архив не само да се извлекат файловете, които съдържа, но и файлове, разположени в вложен tar-архив. Уязвимостта може да се използва за заобикаляне на системите за верификация на архиви и разархивиране на файлове, за които не е извършена проверка.

Уязвимостта се проявява също в форковете на библиотеката async-tar, като tokio-tar, krata-tokio-tar и astral-tokio-tar, и в утилитите, базирани на тях, например, в пакетния мениджър uv, разработван като високопроизводителна алтернатива на „pip“ за проекти на Python. От популярните проекти, които използват уязвимите библиотеки, могат да се споменат и инструментарият testcontainers за стартиране на docker контейнери и WebAssembly runtime wasmCloud. В хранилището crates.is за последните 90 дни библиотеката async-tar е изтегляна 1,3 милиона пъти, tokio-tar — 2,2 милиона, а testcontainers — 2,9 милиона.

Уязвимостта е причинена от некоректен избор на позиция при разбор на различните стойности на размера в заглавията ustar и PAX. В tar архиви във формат PAX за всеки файл вътре в архива се указват два заглавия — класическото ustar и разширеното PAX. Проблемът е, че уязвимите библиотеки при разархивиране на файлове вместо да изчисляват отместването на базата на размера от разширеното заглавие PAX, вземат размера от остарялото заглавие ustar. При нулева стойност на размера в заглавието ustar, съдържанието на файла след него се обработва като валиден блок TAR заглавия за следващия файл.

За извършване на атака е достатъчно да се създаде TAR-архив, в който в заглавието ustar е указан нулев размер, а в заглавието за формата PAX актуален размер, поради което съдържанието на файла с друг tar-архив ще бъде обработено като част от основния архив. Примерен код за създаване на подобни архиви е публикуван на GitHub. Уязвимостта е отстранена в изданията tokio-tar 0.5.6 и uv 0.9.5. За останалите библиотеки актуализациите все още не са публикувани, но за astral-tokio-tar, async-tar и krata-tokio-tar са подготвени отделни пачове.

Уязвимостите в библиотеките са оценени с ниво на опасност 8.1 от 10, тъй като проблемът може да бъде използван за презаписване на разопаковани файлове (в уязвимите реализации ще бъдат разопаковани не тези файлове, които са били видими в архива). В същото време, уязвимостта в пакетния мениджър uv е маркирана като неопасна, тъй като ако нападателят може да влияе на съдържанието на оригиналния архив, няма смисъл да се усложнява атаката и да се експлоатира уязвимостта чрез вложен архив, когато може да се постигне изпълнение на код чрез сборочни скриптове в основния архив.

Изследователите, открили уязвимостта, предложиха няколко хипотетични сценария на атаки, позволяващи да се заобиколят мерките за сигурност и да се постигне изпълнение на код чрез замяна на конфигурационни файлове или намеса в процеса на сборка. Подразбира се, че изпратеният архив ще може да премине автоматизирана проверка от скенер за безопасност и ръчен одит, при който проверяващият няма да обърне внимание на странния вложен архив с други файлове, след което при разопаковане с помощта на Rust-библиотеки от архива ще бъде извлечено различно съдържание от очакваното.

Например, нападателят може да качи модифициран архив в хранилището PyPI, който ще премине проверката на базата на анализа на съдържанието на основния архив, съдържащ легитимен файл pyproject.toml. При обработката на този пакет с помощта на инструмента uv легитимният pyproject.toml ще бъде заменен с вредоносен вариант от вложения архив, съдържащ команди, които ще бъдат изпълнени при сборката на компютъра на разработчика или в системата за непрекъсната интеграция. По същия начин, може да се организира презаписване на файлове на контейнера при извличане на образа на контейнера с помощта на инструмента testcontainers.

Източник: opennet.ru