Haavatavus Python-i moodulis TarFile, mis võimaldab kirjutada mis tahes osadesse FS-i

Python-i tarfile moodulis, mis on sisse ehitatud põhitoote, mis pakub funktsioone tar-arhivide lugemiseks ja kirjutamiseks, on avastatud viis haavatavust, millest üks omab kriitilist ohtu. Haavatavused on kõrvaldatud Python versioonides 3.13.4 ja 3.12.11. Kõige ohtlikum haavatavus (CVE-2025-4517) võimaldab spetsiaalselt kujundatud arhiivi välja pakkimisel kirjutada faile mis tahes osa failisüsteemi. Süsteemiskripte, mis kasutavad tarfile ja käivitatakse root-õigustega (nt pakettide haldamise utiliidid ja isoleeritud konteinerite haldamine), saab haavatavust kasutada privileegide tõstmiseks või isoleeritud konteinerist välja pääsemiseks.

Haavatavus mõjutab projekte, kus moodulit tarfile kasutatakse usaldusväärsete tar-arhivide välja pakkimiseks, kasutades funktsiooni TarFile.extractall() või TarFile.extract() parameetriga „filter=”, mis on seadistatud väärtusele „data” või „tar”. Haavatavus on põhjustatud ebakorrektsest seose „..” töötlemisest lingi nimes. Probleem mõjutab Python-i versioone alates 3.12. Režiim ‘filter=„data”‘ on vaikimisi rakendatud Python 3.14 haru, mis on arenduses (väljalaskmine on planeeritud sügisel).

Teised haavatavused TarFile-is:

• CVE-2025-4330 — võimalus vältida välja pakitud andmete filtrit, mis võib viia sümboolse lingi välja pakkimise juurde, mis viitab aluseks oleva katalooge väljapoole, kuhu toimub välja pakkimine.
• CVE-2025-4138 — võimalus luua suvalisi sümboolseid linke aluseks olevast kataloogist väljapoole, kui välja pakkimist toimub parameetriga ‘filter=„data”‘.
• CVE-2024-12718 — võimalus muuta metainfot (nt muutmise aeg) faile alusest olevast kataloogist väljapoole, kui välja pakkimist toimub parameetriga ‘filter=„data”‘ või õigusi (chmod) välja pakkimiseks parameetriga ‘filter=„tar”‘.
• CVE-2025-4435 — kui arhiivi välja pakkimisel on parameeter TarFile.errorlevel seatud väärtusele 0, siis vastupidiselt dokumentatsioonile, kuuluvad määratud filtri alla olevad arhiivi elemendid välja pakkimist, mitte ei ignoreerita.

Allikas: opennet.ru