Ranljivost u Python modulu TarFile koja omogućava pisanje u bilo koji dio datotečnog sustava

U Python modulu tarfile, koji dolazi u standardnoj isporuci, pružajući funkcije za čitanje i zapis tar arhiva, otkriveno je pet ranjivosti, od kojih je jedna označena kritičnom razinom opasnosti. Ranjivosti su ispravljene u izdanjima Python 3.13.4 i 3.12.11. Najopasnija ranjivost (CVE-2025-4517) omogućava pisanje datoteka u bilo koji deo datotečnog sistema prilikom raspakivanja posebno oblikovanog arhiva. U sistemskim skriptama koje koriste tarfile i pokreću se s pravima root (na primer, u alatima za rad s paketima i izolovanim kontejnerima), ranjivost se može iskoristiti za podizanje svojih privilegija ili izlazak iz izolovanog kontejnera.

Ranjivost se odnosi na projekte u kojima se modul tarfile koristi za raspakivanje nepouzdana tar arhiva, koristeći funkciju TarFile.extractall() ili TarFile.extract() s parametrima «filter=», postavljenim na «data» ili «tar». Ranjivost je uzrokovana nepravilnom obradom niza «..» u imenu veze. Problem pogađa verzije Python-a od 3.12. Način ‘filter=»data»‘ je podrazumevano aktivan u Python 3.14 grani, koja je u razvoju (izdanje se planira na jesen).

Ostale ranjivosti u TarFile:

• CVE-2025-4330 — mogućnost zaobilaženja filtra za ekstrakciju podataka, što može dovesti do ekstrakcije simboličke veze iz arhiva koja se odnosi izvan osnovnog direktorija u koji se vrši raspakivanje.
• CVE-2025-4138 — mogućnost kreiranja proizvoljnih simboličkih veza izvan osnovnog direktorija prilikom raspakivanja arhiva s parametrima ‘filter=»data»‘.
• CVE-2024-12718 — mogućnost izmene metapodataka (npr. vremena modifikacije) datoteka izvan osnovnog direktorija prilikom raspakivanja arhiva s parametrima ‘filter=»data»‘ ili promenom pristupa (chmod) prilikom raspakivanja arhiva s parametrima ‘filter=»tar»‘.
• CVE-2025-4435 — ako je pri raspakivanju arhiva parametar TarFile.errorlevel postavljen na 0, unatoč dokumentaciji, elementi arhiva koji padaju pod zadani filter su se raspakivali, a ne ignorisali.

Izvor: opennet.ru