{"id":146043,"date":"2025-10-21T23:12:42","date_gmt":"2025-10-21T21:12:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva"},"modified":"2025-10-21T23:12:42","modified_gmt":"2025-10-21T21:12:43","slug":"uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva","title":{"rendered":"Vuln\u00e9rabilit\u00e9 dans les biblioth\u00e8ques Rust pour le format TAR, entra\u00eenant l'extraction de fichiers d'une archive imbriqu\u00e9e.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 identifi\u00e9e dans la biblioth\u00e8que async-tar, \u00e9crite en Rust, qui offre des fonctions pour lire et \u00e9crire des archives tar (CVE-2025-62518, nom de code TARmageddon). Cette vuln\u00e9rabilit\u00e9 permet, lors de l'extraction d'une archive tar sp\u00e9cifiquement con\u00e7ue, non seulement d'extraire les fichiers qu'elle contient, mais aussi des fichiers pr\u00e9sents dans une archive tar imbriqu\u00e9e. La vuln\u00e9rabilit\u00e9 peut \u00eatre exploit\u00e9e pour contourner les syst\u00e8mes de v\u00e9rification des archives et extraire des fichiers sans v\u00e9rification pr\u00e9alable. <\/p>\n
La vuln\u00e9rabilit\u00e9 se manifeste \u00e9galement dans les forks de la biblioth\u00e8que async-tar, tels que tokio-tar, krata-tokio-tar et astral-tokio-tar, ainsi que dans les utilitaires bas\u00e9s sur eux, comme le gestionnaire de paquets uv, d\u00e9velopp\u00e9 comme un remplacement haute performance pour \u00ab pip \u00bb dans des projets Python. Parmi les projets populaires utilisant des biblioth\u00e8ques vuln\u00e9rables, on note \u00e9galement l'outil testcontainers pour le lancement de conteneurs Docker et l'ex\u00e9cution WebAssembly wasmCloud. Dans le d\u00e9p\u00f4t crates.is, au cours des 90 derniers jours, la biblioth\u00e8que async-tar a comptabilis\u00e9 1,3 million de t\u00e9l\u00e9chargements, tokio-tar 2,2 millions, et testcontainers 2,9 millions. <\/p>\n
La vuln\u00e9rabilit\u00e9 est caus\u00e9e par un choix incorrect de position lors de l'analyse de diff\u00e9rentes valeurs de taille dans les en-t\u00eates ustar et PAX. Dans les archives tar au format PAX, pour chaque fichier \u00e0 l'int\u00e9rieur de l'archive, deux en-t\u00eates sont sp\u00e9cifi\u00e9s \u2014 l'ustar classique et le PAX \u00e9tendu. Le probl\u00e8me est que les biblioth\u00e8ques vuln\u00e9rables, lors de l'extraction des fichiers, au lieu de calculer le d\u00e9placement en fonction de la taille \u00e0 partir de l'en-t\u00eate \u00e9tendu PAX, prenaient la taille \u00e0 partir de l'en-t\u00eate ustar obsol\u00e8te. Avec une valeur nulle de taille dans l'en-t\u00eate ustar, le contenu suivant du fichier \u00e9tait trait\u00e9 comme un bloc d'en-t\u00eates TAR valide pour le fichier suivant.
<\/center>
<\/center> <\/p>\n
Pour mener une attaque, il suffit de cr\u00e9er une archive TAR dans laquelle l'en-t\u00eate ustar sp\u00e9cifie une taille nulle, tandis que l'en-t\u00eate pour le format PAX sp\u00e9cifie la taille appropri\u00e9e, ce qui entra\u00eene le traitement du contenu d'un fichier contenant une autre archive tar comme faisant partie de l'archive principale. Un exemple de code pour cr\u00e9er de telles archives est disponible sur GitHub. La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 corrig\u00e9e dans les versions tokio-tar 0.5.6 et uv 0.9.5. Pour les autres biblioth\u00e8ques, les correctifs n'ont pas encore \u00e9t\u00e9 publi\u00e9s, mais des patchs ont \u00e9t\u00e9 pr\u00e9par\u00e9s s\u00e9par\u00e9ment pour astral-tokio-tar, async-tar et krata-tokio-tar. <\/p>\n
Les vuln\u00e9rabilit\u00e9s dans les biblioth\u00e8ques ont \u00e9t\u00e9 attribu\u00e9es \u00e0 un niveau de dangerosit\u00e9 de 8.1 sur 10, car le probl\u00e8me peut \u00eatre utilis\u00e9 pour \u00e9craser des fichiers d\u00e9compress\u00e9s (les impl\u00e9mentations vuln\u00e9rables d\u00e9compresseront des fichiers autres que ceux visibles dans l'archive). En revanche, la vuln\u00e9rabilit\u00e9 dans le gestionnaire de paquets uv est marqu\u00e9e comme non dangereuse, car si un attaquant peut influencer le contenu de l'archive source, il n'est pas n\u00e9cessaire de compliquer l'attaque et d'exploiter la vuln\u00e9rabilit\u00e9 via une archive imbriqu\u00e9e, lorsqu'il est possible d'obtenir l'ex\u00e9cution de code via des scripts de construction dans l'archive principale. <\/p>\n
Les chercheurs ayant identifi\u00e9 la vuln\u00e9rabilit\u00e9 ont propos\u00e9 plusieurs sc\u00e9narios hypoth\u00e9tiques d'attaques permettant de contourner les v\u00e9rifications de s\u00e9curit\u00e9 et d'obtenir l'ex\u00e9cution de code par le biais du remplacement des fichiers de configuration ou de l'ing\u00e9rence dans le processus de construction. Il est sous-entendu que l'archive envoy\u00e9e pourra passer une v\u00e9rification automatis\u00e9e par un scanner de s\u00e9curit\u00e9 et un audit manuel, au cours duquel l'auditeur ne pr\u00eatera pas attention \u00e0 une \u00e9trange archive imbriqu\u00e9e avec d'autres fichiers, puis lors de la d\u00e9compression \u00e0 l'aide des biblioth\u00e8ques Rust, un contenu diff\u00e9rent de celui attendu sera extrait de l'archive. <\/p>\n
Par exemple, un attaquant peut t\u00e9l\u00e9charger une archive modifi\u00e9e dans le d\u00e9p\u00f4t PyPI, qui passera la v\u00e9rification bas\u00e9e sur l'analyse du contenu de l'archive principale contenant un fichier l\u00e9gitime pyproject.toml. Lors du traitement de ce paquet \u00e0 l'aide de l'utilitaire uv, le pyproject.toml l\u00e9gitime sera remplac\u00e9 par une version malveillante de l'archive imbriqu\u00e9e, contenant des commandes qui seront ex\u00e9cut\u00e9es lors de la construction sur l'ordinateur du d\u00e9veloppeur ou dans le syst\u00e8me d'int\u00e9gration continue. De m\u00eame, il est possible d'organiser l'\u00e9crasement de fichiers de conteneur lors de l'extraction d'une image de conteneur \u00e0 l'aide de l'outil testcontainers. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Vuln\u00e9rabilit\u00e9](\"\/wp-content\/uploads\/2025\/10\/7de5eeee8420b77faa0bca075f275700.png\")
<\/center> ![\"Vuln\u00e9rabilit\u00e9](\"\/wp-content\/uploads\/2025\/10\/538645342d5a4408b327ffd87c659c4f.png\")
<\/center> <\/p>\n