{"id":146043,"date":"2025-10-21T23:12:42","date_gmt":"2025-10-21T21:12:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva"},"modified":"2025-10-21T23:12:42","modified_gmt":"2025-10-21T21:12:43","slug":"uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva","title":{"rendered":"En s\u00e5rbarhed i Rust-biblioteker til TAR-formatet, som f\u00f8rer til udpakkede filer fra indeholdte arkiver","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I det Rust-baserede bibliotek async-tar, der tilbyder funktioner til l\u00e6sning og skrivning af tar-arkiver, er der identificeret en s\u00e5rbarhed (CVE-2025-62518, kode navn TARmageddon), som g\u00f8r det muligt at pakke filer ud fra et specielt formatteret tar-arkiv og ogs\u00e5 filer, der indeholder et indlejret tar-arkiv. S\u00e5rbarheden kan udnyttes til at omg\u00e5 systemer til verifikation af arkiver og til at pakke filer ud, for hvilke der ikke er udf\u00f8rt kontrol. <\/p>\n
S\u00e5rbarheden viser sig ogs\u00e5 i forgreninger af biblioteket async-tar, s\u00e5som tokio-tar, krata-tokio-tar og astral-tokio-tar, samt i v\u00e6rkt\u00f8jer baseret p\u00e5 dem, for eksempel pakkeh\u00e5ndteringssystemet uv, der udvikles som en h\u00f8jtydende erstatning for \u201epip\u201c til projekter skrevet i Python. Blandt de popul\u00e6re projekter, der bruger de s\u00e5rbare biblioteker, kan n\u00e6vnes testcontainers-v\u00e6rkt\u00f8jet til at k\u00f8re docker-containere og WebAssembly runtime wasmCloud. I repositoryet crates.is har biblioteket async-tar haft 1,3 millioner downloads i de seneste 90 dage, tokio-tar - 2,2 millioner, testcontainers - 2,9 millioner. <\/p>\n
S\u00e5rbarheden skyldes en forkert positioneringsvalg ved h\u00e5ndteringen af forskellige st\u00f8rrelsesv\u00e6rdier i overskrifterne ustar og PAX. I tar-arkiver i PAX-format angives der to overskrifter for hver fil inde i arkivet - den klassiske ustar og den udvidede PAX. Problemet opst\u00e5r, fordi de s\u00e5rbare biblioteker under udpakkingen af filer i stedet for at beregne offset baseret p\u00e5 st\u00f8rrelsen fra den udvidede overskrift PAX, tog st\u00f8rrelsen fra den for\u00e6ldede overskrift ustar. Ved en nulv\u00e6rdi af st\u00f8rrelsen i overskriften ustar blev det efterf\u00f8lgende indhold af filen behandlet som en gyldig blok af TAR-overskrifter for den n\u00e6ste fil.
<\/center>
<\/center> <\/p>\n
For at udf\u00f8re et angreb er det tilstr\u00e6kkeligt at oprette et TAR-arkiv, hvor nullen er angivet i ustar-overskriften, og st\u00f8rrelsen fra PAX-formatets overskrift er den aktuelle st\u00f8rrelse, hvilket f\u00e5r indholdet af en fil med et andet tar-arkiv til at blive behandlet som en del af hovedarkivet. Eksempel p\u00e5 kode til oprettelse af s\u00e5danne arkiver er tilg\u00e6ngelig p\u00e5 GitHub. S\u00e5rbarheden er blevet rettet i versionerne tokio-tar 0.5.6 og uv 0.9.5. For de \u00f8vrige biblioteker er rettelser endnu ikke offentligt tilg\u00e6ngelige, men der er forberedt patches for astral-tokio-tar, async-tar og krata-tokio-tar. <\/p>\n
S\u00e5rbarheder i bibliotekerne tildeles et fare niveau p\u00e5 8.1 ud af 10, da problemet kan udnyttes til at overskrive udpakkede filer (i s\u00e5rbare implementationer vil de filer, der bliver udpakket, ikke v\u00e6re dem, der var synlige i arkivet). Dog er s\u00e5rbarheden i pakkemanageren uv markeret som ikke-farlig, da hvis en angriber kan p\u00e5virke indholdet af den oprindelige arkiv, giver det ikke mening at komplicere angrebet og udnytte s\u00e5rbarheden gennem et indlejret arkiv, n\u00e5r koden kan eksekveres gennem byggescripts i det prim\u00e6re arkiv. <\/p>\n
Forskere, der har identificeret s\u00e5rbarheden, har foresl\u00e5et flere hypotetiske angrebsscenarier, der g\u00f8r det muligt at omg\u00e5 sikkerhedskontroller og opn\u00e5 udf\u00f8relse af kode gennem udskiftning af konfigurationsfiler eller indblanding i byggeprocessen. Det antages, at det sendte arkiv kan passere en automatiseret kontrol via sikkerhedsscanneren og en manuel revision, hvor revisoren ikke vil bem\u00e6rke det m\u00e6rkelige indlejrede arkiv med andre filer, hvorefter der under udpakkingen med Rust-bibliotekerne vil blive udtrukket andet indhold end forventet. <\/p>\n
For eksempel kan en angriber uploade et modificeret arkiv til PyPI, som vil best\u00e5 en kontrol baseret p\u00e5 indholdet af hovedarkivet, der indeholder den legitime fil pyproject.toml. Under behandlingen af denne pakke med v\u00e6rkt\u00f8jet uv vil den legitime pyproject.toml blive erstattet med en ondsindet version fra det indlejrede arkiv, der indeholder kommandoer, som vil blive udf\u00f8rt under konstruktionen p\u00e5 udviklerens computer eller i et kontinuerligt integrationssystem. Tilsvarende kan man arrangere overskrivning af containerfiler under udpakning af containerbilledet ved hj\u00e6lp af v\u00e6rkt\u00f8jerne testcontainers. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"En](\"\/wp-content\/uploads\/2025\/10\/7de5eeee8420b77faa0bca075f275700.png\")
<\/center> ![\"En](\"\/wp-content\/uploads\/2025\/10\/538645342d5a4408b327ffd87c659c4f.png\")
<\/center> <\/p>\n