{"id":146043,"date":"2025-10-21T23:12:42","date_gmt":"2025-10-21T21:12:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva"},"modified":"2025-10-21T23:12:42","modified_gmt":"2025-10-21T21:12:43","slug":"uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva","title":{"rendered":"Eine Schwachstelle in Rust-Bibliotheken f\u00fcr das TAR-Format, die zu einer Entpackung von Dateien aus einem verschachtelten Archiv f\u00fchrt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In der auf Rust geschriebenen Bibliothek async-tar, die Funktionen zum Lesen und Schreiben von tar-Archiven bereitstellt, wurde eine Schwachstelle (CVE-2025-62518, Codename TARmageddon) entdeckt, die es bei der Entpackung eines speziell gestalteten tar-Archivs erm\u00f6glicht, nicht nur die darin enthaltenen Dateien, sondern auch Dateien aus einem eingebetteten tar-Archiv zu extrahieren. Die Schwachstelle kann verwendet werden, um Archiv\u00fcberpr\u00fcfungssysteme zu umgehen und Dateien zu entpacken, bei denen keine \u00dcberpr\u00fcfung durchgef\u00fchrt wurde. <\/p>\n
Die Sicherheitsanf\u00e4lligkeit zeigt sich auch in Forks der Bibliothek async-tar, wie tokio-tar, krata-tokio-tar und astral-tokio-tar, sowie in den darauf basierenden Tools, beispielsweise im Paketmanager uv, der als leistungsstarke Alternative zu \u201epip\u201c f\u00fcr Python-Projekte entwickelt wird. Unter den beliebten Projekten, die die anf\u00e4lligen Bibliotheken verwenden, sind auch das Toolkit testcontainers zur Ausf\u00fchrung von Docker-Containern und die WebAssembly-Laufzeit wasmCloud zu nennen. Im Repository crates.is verzeichnet die Bibliothek async-tar in den letzten 90 Tagen 1,3 Millionen Downloads, tokio-tar 2,2 Millionen, testcontainers 2,9 Millionen. <\/p>\n
Die Sicherheitsanf\u00e4lligkeit wird durch eine fehlerhafte Wahl der Position beim Parsen der unterschiedlichen Gr\u00f6\u00dfewerte in den ustar- und PAX-Headern verursacht. In PAX-Archiven werden f\u00fcr jede Datei im Archiv zwei Header angegeben \u2013 der klassische ustar-Header und der erweiterte PAX-Header. Das Problem ergibt sich daraus, dass die anf\u00e4lligen Bibliotheken beim Entpacken von Dateien anstelle der Berechnung des Offsets basierend auf der Gr\u00f6\u00dfe aus dem erweiterten PAX-Header die Gr\u00f6\u00dfe aus dem veralteten ustar-Header verwendeten. Bei einem Nullwert der Gr\u00f6\u00dfe im ustar-Header wurde der nachfolgende Dateiinhalt als g\u00fcltiger TAR-Headerblock f\u00fcr die n\u00e4chste Datei verarbeitet.
<\/center>
<\/center> <\/p>\n
Um einen Angriff durchzuf\u00fchren, gen\u00fcgt es, ein TAR-Archiv zu erstellen, bei dem im ustar-Header eine Nullgr\u00f6\u00dfe angegeben ist, und im Header f\u00fcr das PAX-Format die aktuelle Gr\u00f6\u00dfe, wodurch der Inhalt der Datei mit einem anderen tar-Archiv als Teil des Hauptarchivs behandelt wird. Ein Codebeispiel zur Erstellung solcher Archive ist auf GitHub ver\u00f6ffentlicht. Die Schwachstelle wurde in den Versionen tokio-tar 0.5.6 und uv 0.9.5 behoben. F\u00fcr die \u00fcbrigen Bibliotheken wurden bisher keine Patches ver\u00f6ffentlicht, aber f\u00fcr astral-tokio-tar, async-tar und krata-tokio-tar wurden separate Patches vorbereitet. <\/p>\n
Die Schwachstellen in den Bibliotheken wurden auf eine Gef\u00e4hrdungsstufe von 8,1 von 10 eingestuft, da das Problem zur \u00dcberschreibung von entpackten Dateien genutzt werden kann (in verwundbaren Implementierungen werden nicht die Dateien entpackt, die im Archiv sichtbar waren). Dabei wird die Schwachstelle im Paketmanager uv als ungef\u00e4hrlich eingestuft, da, wenn ein Angreifer den Inhalt des urspr\u00fcnglichen Archivs beeinflussen kann, es keinen Sinn macht, den Angriff zu komplizieren und die Schwachstelle \u00fcber ein verschachteltes Archiv auszunutzen, wenn der Code bereits \u00fcber Build-Skripte im Hauptarchiv ausgef\u00fchrt werden kann. <\/p>\n
Die Forscher, die die Schwachstelle entdeckt haben, haben mehrere hypothetische Angriffsszenarien vorgeschlagen, die es erm\u00f6glichen, Sicherheitspr\u00fcfungen zu umgehen und die Ausf\u00fchrung von Code durch das Ersetzen von Konfigurationsdateien oder durch Eingriffe in den Build-Prozess zu erreichen. Es wird angenommen, dass das eingereichte Archiv die automatisierte Pr\u00fcfung durch einen Sicherheits-Scanner und eine manuelle \u00dcberpr\u00fcfung besteht, wobei der Pr\u00fcfer m\u00f6glicherweise auf ein seltsames verschachteltes Archiv mit anderen Dateien nicht achtet, und beim Entpacken mit Rust-Bibliotheken wird dann ein anderes Inhalt als erwartet aus dem Archiv extrahiert. <\/p>\n
Zum Beispiel k\u00f6nnte ein Angreifer ein modifiziertes Archiv in das PyPI-Repository hochladen, das die \u00dcberpr\u00fcfung auf Basis der Analyse des Inhalts des Hauptarchivs besteht, das die legitime Datei pyproject.toml enth\u00e4lt. Bei der Verarbeitung dieses Pakets mit dem Tool uv wird die legitime pyproject.toml durch eine b\u00f6sartige Version aus dem verschachtelten Archiv ersetzt, die Befehle enth\u00e4lt, die beim Build auf dem Rechner des Entwicklers oder im Continuous Integration-System ausgef\u00fchrt werden. Ebenso kann das \u00dcberschreiben von Containern erreicht werden, wenn das Container-Image mit dem Testcontainers-Toolkit extrahiert wird. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Eine](\"\/wp-content\/uploads\/2025\/10\/7de5eeee8420b77faa0bca075f275700.png\")
<\/center> ![\"Eine](\"\/wp-content\/uploads\/2025\/10\/538645342d5a4408b327ffd87c659c4f.png\")
<\/center> <\/p>\n