Haavatavus Rusti raamatukogades TAR-formaadile, mis võimaldab lahti pakkida faile sisse töötatud arhiivist

Rustis kirjutatud raamatukogus async-tar, mis pakub funktsioone tar-arhiivide lugemiseks ja kirjutamiseks, avastati haavatavus (CVE-2025-62518, koodnimi TARmageddon), mis võimaldab spetsiaalselt vormindatud tar-arhiivi lahti pakkimisel mitte ainult arhiivis paiknevaid faile, vaid ka faile, mis asuvad sisse töötatud tar-arhiivis. Haavatavust saab kasutada arhiivide kontrollimisse süsteemide läbimiseks ja failide lahti pakkimiseks, mille puhul ei ole toimunud kontrolli.

Haavatavus avaldub ka async-tar raamatukogu forkkides, nagu tokio-tar, krata-tokio-tar ja astral-tokio-tar, samuti nende baasil töötavates utiliitides, näiteks pakihalduris uv, mis areneb kõrge jõudlusega asenduseks Pythonis olevate projektide jaoks. Populaarsetest projektidest, mis kasutavad haavatavaid raamatukogusid, on samuti märgitud testcontainers tööriist docker konteinerite käivitamiseks ja WebAssembly runtime wasmCloud. Crates.is hoidlas on viimase 90 päeva jooksul async-tar raamatukogul 1,3 miljonit allalaadimist, tokio-tar-ile 2,2 miljonit ja testcontainers-ile 2,9 miljonit.

Haavatavus on põhjustatud vale positsiooni valimisest erinevate suuruste väärtuste analüüsimisel ustar ja PAX pealkirjades. PAX formaadis tar-arhiivides on iga faili jaoks arhiivi sees kaks pealkirja – klassikaline ustar ja laiendatud PAX. Probleem tuleneb sellest, et haavatavad raamatukogud lahti pakkides faile ei arvutanud nihket PAX pealkirjast tulenevate suuruste põhjal, vaid võtsid suuruse vanast ustar pealkirjast. Kui ustar pealkirjas on null suurus, siis selle taga olev faili sisu töödeldakse korrektse TAR pealkirja plokina järgmise faili jaoks.

Rünnaku sooritamiseks piisab TAR-arhiivi loomisest, milles ustar pealkirjas on toodud null suurus ja PAX-formaadi pealkirjas aktuaalne suurus, mistõttu teise tar-arhiivi sisu töödeldakse põhiarhiivi osana. Sarnaste arhiivide loomise näide on saadaval GitHubis. Haavatavus on kõrvaldatud versioonides tokio-tar 0.5.6 ja uv 0.9.5. Ülejäänud raamatukogude osas pole parandus veel avaldatud, kuid sõltumatud plaastrid on ette valmistatud astral-tokio-tar, async-tar ja krata-tokio-tar jaoks.

Vigade tasemeks on määratud 8.1 10-st, kuna probleem võib põhjustada lahtiste failide ümberkirjutamist (haavatavates rakendustes lahtitõmmatud failid ei ole need, mida nähti arhiivis). Samuti on uv paketihalduris leitud haavatavuse tase madal, kuna kui ründajal on võimalus mõjutada algse arhiivi sisu, ei ole mõtet rünnakut keerulisemaks muuta ja haavatavust kasutama hakata läbi sisseehitatud arhiivide, kui koodi täitmise saab saavutada peamise arhiivi koostamisskriptide kaudu.

Haavatavuse avastanud teadlased on esitanud mitmeid hüpoteetilisi ründe stsenaariume, mis võimaldavad turvaauditeid mööda hiilida ja koodi täitmist saavutada konfiguratsiooni failide asendamise või koostamisprotsessi sekkumise kaudu. Eeldatakse, et saadetud arhiiv suudab läbida automatiseeritud kontrolli turvaskanneri abil ja käsitsi auditi, mille käigus kontrollija ei pööra tähelepanu kummalisele sisseehitatud arhiivile, mis sisaldab teisi faile, mille tulemusena lahtitõmbamise käigus kaasaskantavate Rust-raamatukogude kaudu saadakse ootamatud tulemused.

Näiteks võib ründaja laadida muudatud arhiivi PyPI hoidlasse, mis läbib kontrolli peamise arhiivi sisu analüüsi põhjal, milles on legaalne fail pyproject.toml. Kui seda paketti töödeldakse uv utiliidiga, asendatakse legaalne pyproject.toml rikutud variandiga sisseehitatud arhiivist, mis sisaldab käske, mis täidetakse arendaja arvutis või pideva integreerimise süsteemis. Samamoodi saab korraldada konteineri failide ümberkirjutamist konteineri pildi väljatõmbamise käigus testcontainers tööriistade abil.

Allikas: opennet.ru