{"id":135918,"date":"2025-06-06T03:05:07","date_gmt":"2025-06-06T01:05:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-python-module-tarfile-dopuskayushhaya-zapis-v-lyubye-chasti-fs"},"modified":"2025-06-06T03:05:07","modified_gmt":"2025-06-06T01:05:07","slug":"uyazvimost-v-python-module-tarfile-dopuskayushhaya-zapis-v-lyubye-chasti-fs","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/uyazvimost-v-python-module-tarfile-dopuskayushhaya-zapis-v-lyubye-chasti-fs","title":{"rendered":"Viga Pythoni TarFile moodulis, mis v\u00f5imaldab kirjutada k\u00f5ikjale failis\u00fcsteemis","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Pythonis sisseehitatud tarfile moodulis, mis pakub funktsioone tar-arhiivide lugemiseks ja kirjutamiseks, on avastatud viis haavatavust, millest \u00fcks on klassifitseeritud kriitiliseks. Haavatavused on k\u00f5rvaldatud Python 3.13.4 ja 3.12.11 v\u00e4ljaannetes. K\u00f5ige ohtlikum haavatavus (CVE-2025-4517) v\u00f5imaldab spetsiaalselt vormistatud arhiivi lahtipakkimisel kirjutada faile \u00fcksk\u00f5ik millisesse faili s\u00fcsteemi ossa. S\u00fcsteemsete skriptide puhul, mis kasutavad tarfile'i ja k\u00e4ivitatakse root-jurisdiktsiooniga (nt pakettide t\u00f6\u00f6tlemise ja isoleeritud konteinerite utiliidid), v\u00f5ib haavatavust kasutada oma privileegide t\u00f5stmiseks v\u00f5i isoleeritud konteinerist v\u00e4ljapoole p\u00e4\u00e4semiseks. <\/p>\n
Haavatavus m\u00f5jutab projekte, kus tarfile moodulit kasutatakse usaldamatute tar-arhiivide lahtipakkimiseks, rakendades funktsiooni TarFile.extractall() v\u00f5i TarFile.extract() parameetriga «filter=», mis on seatud v\u00e4\u00e4rtusele «data» v\u00f5i «tar». Haavatavus tuleneb vale t\u00f6\u00f6tlemise j\u00e4rjekorrast «..» lingi nimetuses. Probleem puudutab Python versioone alates 3.12. Re\u017eiim ‘filter=»data»‘ rakendatakse vaikimisi Python 3.14 harus, mis on arenduses (v\u00e4ljalase on planeeritud s\u00fcgisele). <\/p>\n
Teised TarFile haavatavused: <\/p>\n
\n
CVE-2025-4330 — andmete v\u00e4lja t\u00f5mbamisfiltri \u00fcmbersuunamise v\u00f5imalus, mis v\u00f5ib viia arhiivi lahtipakkimiseni s\u00fcmboolse lingina, mis viitab v\u00e4ljaspool baaskatalooge, kuhu pakkimine toimub.\n
CVE-2025-4435 — juhul, kui arhiivi avamisel on TarFile.errorlevel seatud v\u00e4\u00e4rtusele 0, siis vastavalt dokumentatsioonile peaksid antud filtri alla kuuluvad arhiivielemendid olema ignoreeritud, kuid neid avati siiski. <\/ul>\n