{"id":135918,"date":"2025-06-06T03:05:07","date_gmt":"2025-06-06T01:05:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-python-module-tarfile-dopuskayushhaya-zapis-v-lyubye-chasti-fs"},"modified":"2025-06-06T03:05:07","modified_gmt":"2025-06-06T01:05:07","slug":"uyazvimost-v-python-module-tarfile-dopuskayushhaya-zapis-v-lyubye-chasti-fs","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-python-module-tarfile-dopuskayushhaya-zapis-v-lyubye-chasti-fs","title":{"rendered":"Vuln\u00e9rabilit\u00e9 dans le module Python TarFile, permettant l'\u00e9criture dans n'importe quelle partie du FS","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Le module tarfile de Python, inclus dans la livraison standard, qui fournit des fonctions pour lire et \u00e9crire des archives tar, pr\u00e9sente cinq vuln\u00e9rabilit\u00e9s, dont une de niveau critique. Les vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 corrig\u00e9es dans les versions Python 3.13.4 et 3.12.11. La plus dangereuse d'entre elles (CVE-2025-4517) permet, lors de l'extraction d'une archive sp\u00e9cialement con\u00e7ue, d'\u00e9crire des fichiers dans n'importe quelle partie du syst\u00e8me de fichiers. Dans les scripts syst\u00e8me utilisant tarfile et ex\u00e9cut\u00e9s avec des droits root (par exemple, dans des utilitaires de gestion de paquets et de conteneurs isol\u00e9s), cette vuln\u00e9rabilit\u00e9 peut \u00eatre exploit\u00e9e pour \u00e9lever ses privil\u00e8ges ou sortir des limites du conteneur isol\u00e9. <\/p>\n
La vuln\u00e9rabilit\u00e9 concerne les projets utilisant le module tarfile pour extraire des archives tar non fiables, en utilisant la fonction TarFile.extractall() ou TarFile.extract() avec le param\u00e8tre \u00ab filter= \u00bb d\u00e9fini sur \u00ab data \u00bb ou \u00ab tar \u00bb. Elle est caus\u00e9e par un traitement incorrect de la s\u00e9quence \u00ab .. \u00bb dans le nom du lien. Le probl\u00e8me touche les versions de Python \u00e0 partir de 3.12. Le mode \u2018filter=\u2019data\u2019\u2019 est appliqu\u00e9 par d\u00e9faut dans la branche Python 3.14, qui est en cours de d\u00e9veloppement (la sortie est pr\u00e9vue pour l'automne). <\/p>\n
Autres vuln\u00e9rabilit\u00e9s dans TarFile : <\/p>\n
\n
CVE-2025-4330 \u2014 possibilit\u00e9 de contourner le filtre des donn\u00e9es extraites, ce qui pourrait conduire \u00e0 l'extraction d'un lien symbolique pointant en dehors du r\u00e9pertoire de base dans lequel l'extraction est effectu\u00e9e.\n
CVE-2025-4138 \u2014 possibilit\u00e9 de cr\u00e9er des liens symboliques arbitraires en dehors du r\u00e9pertoire de base lors de l'extraction d'archives avec le param\u00e8tre \u2018filter=\u2019data\u2019\u2018.\n
CVE-2024-12718 \u2014 possibilit\u00e9 de modifier les m\u00e9tadonn\u00e9es (par exemple, la date de modification) des fichiers en dehors du r\u00e9pertoire de base lors de l'extraction d'archives avec le param\u00e8tre \u2018filter=\u2019data\u2019\u2018 ou de changer les autorisations (chmod) lors de l'extraction d'archives avec le param\u00e8tre \u2018filter=\u2019tar\u2019\u2018.\n
CVE-2025-4435 \u2014 si lors de l'extraction de l'archive le param\u00e8tre TarFile.errorlevel est d\u00e9fini sur 0, alors, contrairement \u00e0 la documentation, les \u00e9l\u00e9ments de l'archive correspondant au filtre sp\u00e9cifi\u00e9 \u00e9taient extraits, et non ignor\u00e9s. <\/ul>\n