Canfuwyd pum gwendid yn y modiwl tarfile sydd wedi'i gynnwys yn y dosbarthiad Python safonol, sy'n darparu swyddogaethau ar gyfer darllen ac ysgrifennu archifau tar, ac un ohonynt wedi'i aseinio Γ’ lefel difrifoldeb critigol. Cafodd y gwendidau eu trwsio yn Python 3.13.4 a 3.12.11. Mae'r gwendid mwyaf peryglus (CVE-2025-4517) yn caniatΓ‘u ysgrifennu ffeiliau i unrhyw ran o'r system ffeiliau wrth ddadbacio archif a gynlluniwyd yn arbennig. Mewn sgriptiau system sy'n defnyddio tarfile ac yn rhedeg gyda breintiau gwraidd (er enghraifft, mewn cyfleustodau ar gyfer gweithio gyda phecynnau a chynwysyddion ynysig), gellir defnyddio'r gwendid i gynyddu eu breintiau neu ddianc o gynhwysydd ynysig.
Mae'r bregusrwydd yn effeithio ar brosiectau sy'n defnyddio'r modiwl tarfile i echdynnu archifau tar di-ymddiried gan ddefnyddio'r ffwythiant TarFile.extractall() neu TarFile.extract() gyda'r paramedr "filter=" wedi'i osod i "data" neu "tar". Achosir y bregusrwydd gan drin anghywir o'r dilyniant ".." mewn enw cyswllt. Mae'r broblem yn effeithio ar fersiynau Python ers 3.12. Y modd 'filter="data"' yw'r rhagosodyn yn y gangen datblygu Python 3.14 (a drefnwyd i'w ryddhau'r hydref hwn).
Bregusrwyddau eraill yn TarFile:
- CVE-2025-4330 - Posibilrwydd o osgoi'r hidlydd o ddata a echdynnwyd, a all arwain at echdynnu dolen symbolaidd o archif sy'n pwyntio y tu allan i'r cyfeiriadur sylfaenol y perfformir dadbacio ynddo.
- CVE-2025-4138 - Y gallu i greu cysylltiadau symbolaidd mympwyol y tu allan i'r cyfeiriadur sylfaenol wrth ddadbacio archifau gyda'r paramedr 'filter="data"'.
- CVE-2024-12718 - Mae'n bosibl addasu metadata (e.e. amser addasu) ffeiliau y tu allan i'r cyfeiriadur sylfaenol wrth ddadbacio archifau gyda'r paramedr 'filter="data"' neu hawliau mynediad (chmod) wrth ddadbacio archifau gyda'r paramedr 'filter="tar"'.
- CVE-2025-4435 - Os gosodwyd y paramedr TarFile.errorlevel i 0 wrth ddadbacio archif, yna, yn groes i'r ddogfennaeth, cafodd elfennau archif sy'n cyfateb i'r hidlydd penodedig eu dadbacio yn hytrach na'u hanwybyddu.
Ffynhonnell: opennet.ru
