{"id":146043,"date":"2025-10-21T23:12:42","date_gmt":"2025-10-21T21:12:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva"},"modified":"2025-10-21T23:12:42","modified_gmt":"2025-10-21T21:12:43","slug":"uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva","title":{"rendered":"Vulnerabilidad en las bibliotecas Rust para el formato TAR, que permite la extracci\u00f3n de archivos de un archivo comprimido anidado","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
En la biblioteca async-tar, escrita en Rust y que proporciona funciones para leer y escribir archivos tar, se ha detectado una vulnerabilidad (CVE-2025-62518, nombre en clave TARmageddon) que permite al descomprimir un archivo tar especialmente dise\u00f1ado no solo extraer los archivos contenidos en \u00e9l, sino tambi\u00e9n aquellos de un archivo tar anidado. La vulnerabilidad puede ser utilizada para eludir sistemas de verificaci\u00f3n de archivos y descomprimir archivos que no han sido validados. <\/p>\n
La vulnerabilidad tambi\u00e9n se manifiesta en los forks de la biblioteca async-tar, como tokio-tar, krata-tokio-tar y astral-tokio-tar, as\u00ed como en las utilidades basadas en ellas, por ejemplo, en el gestor de paquetes uv, que se desarrolla como un reemplazo de alto rendimiento para 'pip' en proyectos en Python. Entre los proyectos populares que utilizan bibliotecas vulnerables se destacan la herramienta testcontainers para ejecutar contenedores docker y el runtime WebAssembly wasmCloud. En el repositorio crates.is, en los \u00faltimos 90 d\u00edas, la biblioteca async-tar ha tenido 1.3 millones de descargas, tokio-tar \u2014 2.2 millones, testcontainers \u2014 2.9 millones. <\/p>\n
La vulnerabilidad es causada por una elecci\u00f3n incorrecta de la posici\u00f3n al analizar diferentes valores de tama\u00f1o en los encabezados ustar y PAX. En los archivos tar en formato PAX, para cada archivo dentro del archivo se especifican dos encabezados: el cl\u00e1sico ustar y el PAX extendido. El problema se debe a que las bibliotecas vulnerables, al descomprimir archivos, en lugar de calcular el desplazamiento en funci\u00f3n del tama\u00f1o del encabezado PAX extendido, tomaban el tama\u00f1o del encabezado ustar obsoleto. Con un tama\u00f1o nulo en el encabezado ustar, el contenido siguiente del archivo se procesaba como un bloque v\u00e1lido de encabezados TAR para el siguiente archivo.
<\/center>
<\/center> <\/p>\n
Para llevar a cabo un ataque, es suficiente crear un archivo TAR en el que en la cabecera ustar se indique un tama\u00f1o cero, y en la cabecera para el formato PAX el tama\u00f1o real, lo que provoca que el contenido de un archivo con otro archivo tar se procese como parte del archivo principal. Un ejemplo de c\u00f3digo para crear tales archivos est\u00e1 disponible en GitHub. La vulnerabilidad se ha solucionado en las versiones tokio-tar 0.5.6 y uv 0.9.5. Para las dem\u00e1s bibliotecas, las correcciones a\u00fan no se han publicado, pero se han preparado parches por separado para astral-tokio-tar, async-tar y krata-tokio-tar. <\/p>\n
Las vulnerabilidades en las bibliotecas han recibido un nivel de gravedad de 8.1 sobre 10, ya que el problema puede ser utilizado para sobrescribir archivos extra\u00eddos (en las implementaciones vulnerables se extraer\u00e1n archivos diferentes de los que eran visibles en el archivo comprimido). Sin embargo, la vulnerabilidad en el gestor de paquetes uv se marc\u00f3 como no peligrosa, ya que si un atacante puede influir en el contenido del archivo comprimido original, no tiene sentido complicar el ataque y explotar la vulnerabilidad a trav\u00e9s de un archivo comprimido anidado, cuando se puede lograr la ejecuci\u00f3n de c\u00f3digo a trav\u00e9s de scripts de construcci\u00f3n en el archivo comprimido principal. <\/p>\n
Los investigadores que detectaron la vulnerabilidad propusieron varios escenarios hipot\u00e9ticos de ataques que permiten eludir las comprobaciones de seguridad y lograr la ejecuci\u00f3n de c\u00f3digo mediante la sustituci\u00f3n de archivos de configuraci\u00f3n o la intervenci\u00f3n en el proceso de compilaci\u00f3n. Se supone que el archivo comprimido enviado podr\u00e1 pasar un chequeo automatizado por un esc\u00e1ner de seguridad y una auditor\u00eda manual, durante la cual el auditor no prestar\u00e1 atenci\u00f3n a un extra\u00f1o archivo comprimido anidado con otros archivos, despu\u00e9s de lo cual, al descomprimirlo con las bibliotecas de Rust, se extraer\u00e1 contenido diferente al esperado. <\/p>\n
Por ejemplo, un atacante puede cargar un archivo comprimido modificado en el repositorio de PyPI, que pasar\u00e1 la verificaci\u00f3n basada en el an\u00e1lisis del contenido del archivo comprimido principal, que contiene un archivo leg\u00edtimo pyproject.toml. Al procesar este paquete con la herramienta uv, el pyproject.toml leg\u00edtimo ser\u00e1 reemplazado por una variante maliciosa del archivo comprimido anidado, que contiene comandos que se ejecutar\u00e1n durante la compilaci\u00f3n en la computadora del desarrollador o en el sistema de integraci\u00f3n continua. De manera similar, se puede organizar la sobrescritura de archivos del contenedor al extraer la imagen del contenedor usando la herramienta testcontainers. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Vulnerabilidad](\"\/wp-content\/uploads\/2025\/10\/7de5eeee8420b77faa0bca075f275700.png\")
<\/center> ![\"Vulnerabilidad](\"\/wp-content\/uploads\/2025\/10\/538645342d5a4408b327ffd87c659c4f.png\")
<\/center> <\/p>\n