V modulu tarfile, který je součástí standardní dodávky Pythonu a poskytuje funkce pro čtení a zápis tar archivů, byly zjištěny čtyři zranitelnosti, z nichž jedna má kritický stupeň nebezpečí. Zranitelnosti byly odstraněny ve verzích Python 3.13.4 a 3.12.11. Nejnebezpečnější zranitelnost (CVE-2025-4517) umožňuje při rozbalování speciálně vytvořeného archivu zapisovat soubory do libovolné části souborového systému. Ve systémových skriptech, které používají tarfile a jsou spuštěny s právy root (např. v nástrojích pro práci s balíčky a izolovanými kontejnery), může být zranitelnost využita k zvýšení oprávnění nebo k úniku z izolovaného kontejneru.
Zranitelnost se dotýká projektů, ve kterých je modul tarfile používán k rozbalování nedůvěryhodných tar archivů, pomocí funkce TarFile.extractall() nebo TarFile.extract() s parametrem „filter=“, nastaveným na hodnotu „data“ nebo „tar“. Zranitelnost je způsobena nesprávným zpracováním sekvence „..“ v názvu odkazu. Problém se dotýká verzí Pythonu od 3.12. Mód 'filter="data"' je ve výchozím nastavení použit v vývojové větvi Python 3.14 (uvolnění je plánováno na podzim).
Další zranitelnosti v TarFile:
- CVE-2025-4330 - možnost obcházení filtru extrahovaných dat, což může vést k extrakci symbolického odkazu z archivu, který ukazuje mimo základní adresář, do kterého se provádí rozbalení.
- CVE-2025-4138 - možnost vytvářet libovolné symbolické odkazy mimo základní adresář při rozbalování archivů s parametrem 'filter="data"'.
- CVE-2024-12718 - možnost změny metadat (např. času modifikace) souborů mimo základní adresář při rozbalování archivů s parametrem 'filter="data"' nebo oprávnění (chmod) při rozbalování archivů s parametrem 'filter="tar"'.
- CVE-2025-4435 - pokud je při rozbalování archivu parametr TarFile.errorlevel nastaven na hodnotu 0, pak bez ohledu na dokumentaci, prvky archivu, které spadají pod daný filtr, byly rozbalovány, nikoli ignorovány.
Zdroj: opennet.ru
