{"id":146043,"date":"2025-10-21T23:12:42","date_gmt":"2025-10-21T21:12:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva"},"modified":"2025-10-21T23:12:42","modified_gmt":"2025-10-21T21:12:43","slug":"uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva","title":{"rendered":"Sebezhet\u0151s\u00e9g a Rust k\u00f6nyvt\u00e1rakban a TAR form\u00e1tumban, amely f\u00e1jlok kib\u0151v\u00edt\u00e9s\u00e9hez vezet be\u00e1gyazott arch\u00edvumb\u00f3l","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A Rust nyelven \u00edrt async-tar k\u00f6nyvt\u00e1rban, amely funkci\u00f3kat biztos\u00edt a tar arch\u00edvumok olvas\u00e1s\u00e1ra \u00e9s \u00edr\u00e1s\u00e1ra, egy sebezhet\u0151s\u00e9get fedeztek fel (CVE-2025-62518, k\u00f3dn\u00e9v TARmageddon), amely lehet\u0151v\u00e9 teszi, hogy egy speci\u00e1lisan megform\u00e1zott tar arch\u00edvum kib\u0151v\u00edt\u00e9se sor\u00e1n ne csak a benne tal\u00e1lhat\u00f3 f\u00e1jlokat, hanem a be\u00e1gyazott tar arch\u00edvumban tal\u00e1lhat\u00f3 f\u00e1jlokat is kinyerj\u00e9k. A sebezhet\u0151s\u00e9g felhaszn\u00e1lhat\u00f3 az arch\u00edvumok ellen\u0151rz\u00e9si rendszereinek megker\u00fcl\u00e9s\u00e9re \u00e9s olyan f\u00e1jlok kib\u0151v\u00edt\u00e9s\u00e9re, amelyeken nem v\u00e9geztek ellen\u0151rz\u00e9st. <\/p>\n
A sebezhet\u0151s\u00e9g a async-tar k\u00f6nyvt\u00e1r forkjaiban is megjelenik, mint p\u00e9ld\u00e1ul a tokio-tar, krata-tokio-tar \u00e9s astral-tokio-tar, valamint az ezekre alapozott eszk\u00f6z\u00f6kben, p\u00e9ld\u00e1ul az uv csomagkezel\u0151ben, amelyet a Python projektek sz\u00e1m\u00e1ra a \"pip\" nagy teljes\u00edtm\u00e9ny\u0171 alternat\u00edv\u00e1jak\u00e9nt fejlesztenek. A sebezhet\u0151 k\u00f6nyvt\u00e1rakat haszn\u00e1l\u00f3 n\u00e9pszer\u0171 projektek k\u00f6z\u00f6tt eml\u00edt\u00e9st nyer a tesztkeretrendszer, mint a docker kont\u00e9nerek futtat\u00e1s\u00e1ra szolg\u00e1l\u00f3 testcontainers, valamint a WebAssembly runtime wasmCloud. Az crates.is adatt\u00e1r\u00e1ban az elm\u00falt 90 napban az async-tar k\u00f6nyvt\u00e1r 1,3 milli\u00f3 let\u00f6lt\u00e9st, a tokio-tar 2,2 milli\u00f3t, m\u00edg a testcontainers 2,9 milli\u00f3t sz\u00e1ml\u00e1l. <\/p>\n
A sebezhet\u0151s\u00e9get az okozza, hogy rosszul v\u00e1lasztott\u00e1k meg a poz\u00edci\u00f3t a k\u00fcl\u00f6nb\u00f6z\u0151 m\u00e9ret\u00e9rt\u00e9kek feldolgoz\u00e1sa sor\u00e1n az ustar \u00e9s PAX fejl\u00e9cben. A PAX form\u00e1tum\u00fa tar arch\u00edvumokban minden f\u00e1jlhoz k\u00e9t fejl\u00e9c tartozik - a klasszikus ustar \u00e9s a kib\u0151v\u00edtett PAX. A probl\u00e9ma abb\u00f3l ad\u00f3dik, hogy a sebezhet\u0151 k\u00f6nyvt\u00e1rak a f\u00e1jlok kicsomagol\u00e1sa sor\u00e1n a PAX fejl\u00e9cb\u0151l sz\u00e1rmaz\u00f3 m\u00e9ret helyett az elavult ustar fejl\u00e9cb\u0151l vett\u00e9k a m\u00e9retet. Amikor a m\u00e9ret null\u00e1s \u00e9rt\u00e9ket vesz fel az ustar fejl\u00e9cben, az azt k\u00f6vet\u0151 f\u00e1jl tartalm\u00e1t a k\u00f6vetkez\u0151 f\u00e1jlhoz tartoz\u00f3 megfelel\u0151 TAR fejl\u00e9cblokk\u00e9nt dolgozt\u00e1k fel.
<\/center>
<\/center> <\/p>\n
A t\u00e1mad\u00e1shoz elegend\u0151 l\u00e9trehozni egy TAR arch\u00edvumot, amelyben az ustar fejl\u00e9cben null\u00e1s m\u00e9ret szerepel, m\u00edg a PAX form\u00e1tum\u00fa fejl\u00e9cben a t\u00e9nyleges m\u00e9ret tal\u00e1lhat\u00f3, ennek k\u00f6vetkezt\u00e9ben egy m\u00e1sik tar arch\u00edvum tartalm\u00e1t az alap arch\u00edvum r\u00e9sz\u00e9nek fogj\u00e1k kezelni. P\u00e9lda k\u00f3d a hasonl\u00f3 arch\u00edvumok l\u00e9trehoz\u00e1s\u00e1ra a GitHubon el\u00e9rhet\u0151. A sebezhet\u0151s\u00e9get a tokio-tar 0.5.6 \u00e9s az uv 0.9.5 verzi\u00f3kban kijav\u00edtott\u00e1k. A t\u00f6bbi k\u00f6nyvt\u00e1r eset\u00e9ben a jav\u00edt\u00e1sok m\u00e9g nem ker\u00fcltek nyilv\u00e1noss\u00e1gra, de az astral-tokio-tar, async-tar \u00e9s krata-tokio-tar eset\u00e9ben k\u00fcl\u00f6n jav\u00edt\u00f3csomagokat k\u00e9sz\u00edtettek. <\/p>\n
A k\u00f6nyvt\u00e1rakban felfedezett sebezhet\u0151s\u00e9gek vesz\u00e9lyess\u00e9gi szintje 8.1 a 10-b\u0151l, mivel a probl\u00e9ma kihaszn\u00e1lhat\u00f3 az kicsomagolhat\u00f3 f\u00e1jlok fel\u00fcl\u00edr\u00e1s\u00e1ra (a sebezhet\u0151 megold\u00e1sok eset\u00e9n nem azok a f\u00e1jlok lesznek kicsomagolva, amelyek a t\u00f6m\u00f6r\u00edt\u00e9sben l\u00e1that\u00f3k). A uv csomagkezel\u0151 sebezhet\u0151s\u00e9ge viszont nem min\u0151s\u00fcl vesz\u00e9lyesnek, hiszen ha a t\u00e1mad\u00f3 k\u00e9pes befoly\u00e1solni az eredeti t\u00f6m\u00f6r\u00edt\u00e9st, nincs \u00e9rtelme bonyol\u00edtani a t\u00e1mad\u00e1st \u00e9s kihaszn\u00e1lni a sebezhet\u0151s\u00e9get egy be\u00e1gyazott arch\u00edvumon kereszt\u00fcl, amikor a k\u00f3d futtat\u00e1sa egyszer\u0171en el\u00e9rhet\u0151 az alap arch\u00edvumban tal\u00e1lhat\u00f3 build szkriptek r\u00e9v\u00e9n. <\/p>\n
A sebezhet\u0151s\u00e9get felfedez\u0151 kutat\u00f3k t\u00f6bb hipotetikus t\u00e1mad\u00e1si forgat\u00f3k\u00f6nyvet javasoltak, amelyek lehet\u0151v\u00e9 teszik a biztons\u00e1gi ellen\u0151rz\u00e9sek megker\u00fcl\u00e9s\u00e9t \u00e9s a k\u00f3d futtat\u00e1s\u00e1t konfigur\u00e1ci\u00f3s f\u00e1jlok cser\u00e9j\u00e9vel vagy a build folyamatba val\u00f3 beavatkoz\u00e1ssal. Felt\u00e9telezik, hogy a bek\u00fcld\u00f6tt arch\u00edvum k\u00e9pes lesz \u00e1tkelni egy automatiz\u00e1lt biztons\u00e1gi szkenner \u00e9s egy manu\u00e1lis audit vizsg\u00e1lat\u00e1n, amely sor\u00e1n a vizsg\u00e1l\u00f3biztos nem fogja \u00e9szrevenni a szokatlan be\u00e1gyazott arch\u00edvumot m\u00e1s f\u00e1jlokkal, \u00edgy a Rust k\u00f6nyvt\u00e1rak seg\u00edts\u00e9g\u00e9vel kicsomagolt tartalom elt\u00e9r az elv\u00e1rtt\u00f3l. <\/p>\n
P\u00e9ld\u00e1ul, a t\u00e1mad\u00f3 m\u00f3dos\u00edtott arch\u00edvumot t\u00f6lthet fel a PyPI t\u00e1rol\u00f3ba, amely \u00e1tmegy az alap arch\u00edvum tartalma alapj\u00e1n v\u00e9gzett ellen\u0151rz\u00e9sen, amely tartalmazza a jogtiszta pyproject.toml f\u00e1jlt. A csomag feldolgoz\u00e1sa sor\u00e1n az uv eszk\u00f6z seg\u00edts\u00e9g\u00e9vel a jogtiszta pyproject.toml f\u00e1jl hely\u00e9re egy rosszindulat\u00fa v\u00e1ltozat ker\u00fcl a be\u00e1gyazott arch\u00edvumb\u00f3l, amely parancsokat tartalmaz, amelyek futni fognak a fejleszt\u0151 sz\u00e1m\u00edt\u00f3g\u00e9p\u00e9n vagy a folyamatos integr\u00e1ci\u00f3s rendszer\u00e9ben. Hasonl\u00f3 m\u00f3don a kont\u00e9ner f\u00e1jljainak fel\u00fcl\u00edr\u00e1s\u00e1t is meg lehet szervezni a kont\u00e9ner k\u00e9p\u00e9nek kicsomagol\u00e1sakor a testcontainers eszk\u00f6zk\u00e9szlettel. \n Forr\u00e1s: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Sebezhet\u0151s\u00e9g](\"\/wp-content\/uploads\/2025\/10\/7de5eeee8420b77faa0bca075f275700.png\")
<\/center> ![\"Sebezhet\u0151s\u00e9g](\"\/wp-content\/uploads\/2025\/10\/538645342d5a4408b327ffd87c659c4f.png\")
<\/center> <\/p>\n