{"id":146043,"date":"2025-10-21T23:12:42","date_gmt":"2025-10-21T21:12:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva"},"modified":"2025-10-21T23:12:42","modified_gmt":"2025-10-21T21:12:43","slug":"uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva","title":{"rendered":"Eine Schwachstelle in Rust-Bibliotheken f\u00fcr das TAR-Format, die zum Entpacken von Dateien aus einem verschachtelten Archiv f\u00fchrt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In der in der Programmiersprache Rust geschriebenen Bibliothek async-tar, die Funktionen zum Lesen und Schreiben von Tar-Archiven bereitstellt, wurde eine Schwachstelle (CVE-2025-62518, Codename TARmageddon) entdeckt, die es erm\u00f6glicht, beim Entpacken eines speziell gestalteten Tar-Archivs nicht nur die darin enthaltenen Dateien zu extrahieren, sondern auch Dateien, die in einem verschachtelten Tar-Archiv enthalten sind. Diese Schwachstelle kann genutzt werden, um Verifizierungssysteme f\u00fcr Archive zu umgehen und Dateien zu entpacken, f\u00fcr die keine \u00dcberpr\u00fcfung erfolgte. <\/p>\n
Die Schwachstelle zeigt sich auch in Forks der Bibliothek async-tar, wie tokio-tar, krata-tokio-tar und astral-tokio-tar, sowie in darauf basierenden Tools, wie dem Package Manager uv, der als leistungsstarke Alternative zu \u201epip\u201c f\u00fcr Projekte in der Programmiersprache Python entwickelt wird. Zu den bekannten Projekten, die verletzliche Bibliotheken verwenden, geh\u00f6ren auch das Testcontainers-Toolkit zum Starten von Docker-Containern und die WebAssembly-Laufzeit wasmCloud. Im Repository crates.is verzeichnet die Bibliothek async-tar in den letzten 90 Tagen 1,3 Millionen Downloads, tokio-tar \u2014 2,2 Millionen, testcontainers \u2014 2,9 Millionen. <\/p>\n
Die Schwachstelle wird durch eine falsche Positionswahl bei der Analyse unterschiedlicher Gr\u00f6\u00dfenwerte in den ustar- und PAX-Headermeldungen verursacht. In PAX-Archiven werden f\u00fcr jede Datei innerhalb des Archivs zwei Header angegeben \u2014 der klassische ustar und der erweiterte PAX. Das Problem entsteht, weil die verletzlichen Bibliotheken beim Entpacken von Dateien anstelle der Berechnung des Offsets basierend auf der Gr\u00f6\u00dfe aus dem erweiterten PAX-Header die Gr\u00f6\u00dfe aus dem veralteten ustar-Header entnahmen. Bei einem Nullwert f\u00fcr die Gr\u00f6\u00dfe im ustar-Header wurde der folgende Inhalt der Datei als g\u00fcltiger Block TAR-Header f\u00fcr die n\u00e4chste Datei verarbeitet.
<\/center>
<\/center> <\/p>\n
Um einen Angriff durchzuf\u00fchren, gen\u00fcgt es, ein TAR-Archiv zu erstellen, in dem im ustar-Header eine Nullgr\u00f6\u00dfe angegeben ist, w\u00e4hrend im Header f\u00fcr das PAX-Format die aktuelle Gr\u00f6\u00dfe angegeben ist. Dadurch wird der Inhalt der Datei eines anderen Tar-Archivs als Teil des Hauptarchivs behandelt. Ein Beispielcode zum Erstellen solcher Archive ist auf GitHub verf\u00fcgbar. Die Schwachstelle wurde in den Versionen tokio-tar 0.5.6 und uv 0.9.5 behoben. F\u00fcr die anderen Bibliotheken wurden bisher keine Patches ver\u00f6ffentlicht, aber f\u00fcr astral-tokio-tar, async-tar und krata-tokio-tar wurden separate Patches vorbereitet. <\/p>\n
Die Schwachstelle in den Bibliotheken wurde ein Gefahrenlevel von 8,1 von 10 zugewiesen, da das Problem verwendet werden kann, um entpackte Dateien zu \u00fcberschreiben (in den verletzlichen Implementierungen werden nicht die Dateien entpackt, die im Archiv sichtbar waren). Dabei wurde die Schwachstelle im Paketmanager uv als unbedenklich eingestuft, da es keinen Sinn macht, den Angriff zu komplizieren und die Schwachstelle durch ein verschachteltes Archiv auszunutzen, wenn die Ausf\u00fchrung von Code direkt \u00fcber die Build-Skripte im Hauptarchiv erreicht werden kann. <\/p>\n
Die Forscher, die die Schwachstelle entdeckt haben, schlugen mehrere hypothetische Angriffsszenarien vor, die es erm\u00f6glichen, sicherheits\u00fcberpr\u00fcfungen zu umgehen und die Ausf\u00fchrung von Code durch Ersetzen von Konfigurationsdateien oder Eingriffe in den Build-Prozess zu erreichen. Es wird angenommen, dass das eingesandte Archiv die automatisierte Pr\u00fcfung eines Sicherheitsscanners und eine manuelle Pr\u00fcfung bestehen kann, w\u00e4hrend der Pr\u00fcfer m\u00f6glicherweise nicht auf ein seltsames verschachteltes Archiv mit anderen Dateien achtet, wodurch beim Entpacken mit Rust-Bibliotheken aus dem Archiv ein anderes, als erwartetes, Inhalt extrahiert wird. <\/p>\n
Beispielsweise kann ein Angreifer ein modifiziertes Archiv in das PyPI-Repository hochladen, das die \u00dcberpr\u00fcfung basierend auf der Analyse des Inhalts des Hauptarchivs besteht, das die legitime Datei pyproject.toml enth\u00e4lt. Bei der Verarbeitung dieses Pakets mit dem Tool uv wird die legitime pyproject.toml durch eine b\u00f6sartige Version aus dem verschachtelten Archiv ersetzt, die Anweisungen enth\u00e4lt, die beim Build auf dem Computer des Entwicklers oder in einem kontinuierlichen Integrationssystem ausgef\u00fchrt werden. Analog dazu k\u00f6nnen Dateien des Containers beim Entpacken des Container-Images mit dem Testcontainers-Toolkit \u00fcberschrieben werden. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Eine](\"\/wp-content\/uploads\/2025\/10\/7de5eeee8420b77faa0bca075f275700.png\")
<\/center> ![\"Eine](\"\/wp-content\/uploads\/2025\/10\/538645342d5a4408b327ffd87c659c4f.png\")
<\/center> <\/p>\n