{"id":146043,"date":"2025-10-21T23:12:42","date_gmt":"2025-10-21T21:12:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva"},"modified":"2025-10-21T23:12:42","modified_gmt":"2025-10-21T21:12:43","slug":"uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva","title":{"rendered":"Haavatavus Rusti raamatukogades TAR-formaadile, mis v\u00f5imaldab lahti pakkida faile sisse t\u00f6\u00f6tatud arhiivist","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Rustis kirjutatud raamatukogus async-tar, mis pakub funktsioone tar-arhiivide lugemiseks ja kirjutamiseks, avastati haavatavus (CVE-2025-62518, koodnimi TARmageddon), mis v\u00f5imaldab spetsiaalselt vormindatud tar-arhiivi lahti pakkimisel mitte ainult arhiivis paiknevaid faile, vaid ka faile, mis asuvad sisse t\u00f6\u00f6tatud tar-arhiivis. Haavatavust saab kasutada arhiivide kontrollimisse s\u00fcsteemide l\u00e4bimiseks ja failide lahti pakkimiseks, mille puhul ei ole toimunud kontrolli. <\/p>\n
Haavatavus ilmneb ka async-tar teegi forkides, nagu tokio-tar, krata-tokio-tar ja astral-tokio-tar, samuti nende p\u00f5hjal loodud utiliitides, n\u00e4iteks uv-pakihalduris, mis arendatakse v\u00e4lja k\u00f5rge j\u00f5udlusega asendajana «pip» jaoks Python-projektides. Populaarsetest projektidest, mis kasutavad haavatavaid teeke, m\u00e4rgitakse ka testcontainers t\u00f6\u00f6riist docker-konteinerite k\u00e4ivitamiseks ja WebAssembly runtime wasmCloud. Viimase 90 p\u00e4eva jooksul on crates.is hoidlas async-tar teek saanud 1,3 miljonit allalaadimist, tokio-tar — 2,2 miljonit, testcontainers — 2,9 miljonit. <\/p>\n
Haavatavus on p\u00f5hjustatud valest positsiooni valikust erinevate suuruse v\u00e4\u00e4rtuste anal\u00fc\u00fcsimisel ustar ja PAX pealkirjades. PAX formaadis tar-arhivides on iga arhiivi failide jaoks m\u00e4\u00e4ratud kaks pealkirja \u2014 klassikaline ustar ja laiendatud PAX. Probleem tuleneb sellest, et haavatavad teegid failide lahti pakkimisel v\u00f5tsid suuruse vanast ustar pealkirjast, mitte ei arvutanud offsetit laiendatud PAX pealkirja suuruse p\u00f5hjal. Nullv\u00e4\u00e4rtuse korral ustar pealkirjas, j\u00e4rgnev failisisu t\u00f6\u00f6deldi kui korrektne TAR-pealkirjade blok j\u00e4rgmiseks failiks.
<\/center>
<\/center> <\/p>\n
R\u00fcnnaku sooritamiseks piisab TAR-arhiivi loomisest, milles ustar pealkirjas on toodud null suurus ja PAX-formaadi pealkirjas aktuaalne suurus, mist\u00f5ttu teise tar-arhiivi sisu t\u00f6\u00f6deldakse p\u00f5hiarhiivi osana. Sarnaste arhiivide loomise n\u00e4ide on saadaval GitHubis. Haavatavus on k\u00f5rvaldatud versioonides tokio-tar 0.5.6 ja uv 0.9.5. \u00dclej\u00e4\u00e4nud raamatukogude osas pole parandus veel avaldatud, kuid s\u00f5ltumatud plaastrid on ette valmistatud astral-tokio-tar, async-tar ja krata-tokio-tar jaoks. <\/p>\n
Vigade tasemeks on m\u00e4\u00e4ratud 8.1 10-st, kuna probleem v\u00f5ib p\u00f5hjustada lahtiste failide \u00fcmberkirjutamist (haavatavates rakendustes lahtit\u00f5mmatud failid ei ole need, mida n\u00e4hti arhiivis). Samuti on uv paketihalduris leitud haavatavuse tase madal, kuna kui r\u00fcndajal on v\u00f5imalus m\u00f5jutada algse arhiivi sisu, ei ole m\u00f5tet r\u00fcnnakut keerulisemaks muuta ja haavatavust kasutama hakata l\u00e4bi sisseehitatud arhiivide, kui koodi t\u00e4itmise saab saavutada peamise arhiivi koostamisskriptide kaudu. <\/p>\n
Haavatavuse avastanud teadlased on esitanud mitmeid h\u00fcpoteetilisi r\u00fcnde stsenaariume, mis v\u00f5imaldavad turvaauditeid m\u00f6\u00f6da hiilida ja koodi t\u00e4itmist saavutada konfiguratsiooni failide asendamise v\u00f5i koostamisprotsessi sekkumise kaudu. Eeldatakse, et saadetud arhiiv suudab l\u00e4bida automatiseeritud kontrolli turvaskanneri abil ja k\u00e4sitsi auditi, mille k\u00e4igus kontrollija ei p\u00f6\u00f6ra t\u00e4helepanu kummalisele sisseehitatud arhiivile, mis sisaldab teisi faile, mille tulemusena lahtit\u00f5mbamise k\u00e4igus kaasaskantavate Rust-raamatukogude kaudu saadakse ootamatud tulemused. <\/p>\n
N\u00e4iteks v\u00f5ib r\u00fcndaja laadida muudatud arhiivi PyPI hoidlasse, mis l\u00e4bib kontrolli peamise arhiivi sisu anal\u00fc\u00fcsi p\u00f5hjal, milles on legaalne fail pyproject.toml. Kui seda paketti t\u00f6\u00f6deldakse uv utiliidiga, asendatakse legaalne pyproject.toml rikutud variandiga sisseehitatud arhiivist, mis sisaldab k\u00e4ske, mis t\u00e4idetakse arendaja arvutis v\u00f5i pideva integreerimise s\u00fcsteemis. Samamoodi saab korraldada konteineri failide \u00fcmberkirjutamist konteineri pildi v\u00e4ljat\u00f5mbamise k\u00e4igus testcontainers t\u00f6\u00f6riistade abil. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Haavatavus](\"\/wp-content\/uploads\/2025\/10\/7de5eeee8420b77faa0bca075f275700.png\")
<\/center> ![\"Haavatavus](\"\/wp-content\/uploads\/2025\/10\/538645342d5a4408b327ffd87c659c4f.png\")
<\/center> <\/p>\n