{"id":135918,"date":"2025-06-06T03:05:07","date_gmt":"2025-06-06T01:05:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-python-module-tarfile-dopuskayushhaya-zapis-v-lyubye-chasti-fs"},"modified":"2025-06-06T03:05:07","modified_gmt":"2025-06-06T01:05:07","slug":"uyazvimost-v-python-module-tarfile-dopuskayushhaya-zapis-v-lyubye-chasti-fs","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/uyazvimost-v-python-module-tarfile-dopuskayushhaya-zapis-v-lyubye-chasti-fs","title":{"rendered":"Vulnerabilit\u00e0 nel modulo TarFile di Python che consente la scrittura in qualsiasi parte del file system","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nel modulo tarfile fornito con Python, che offre funzioni per la lettura e la scrittura di archivi tar, sono state scoperte cinque vulnerabilit\u00e0, una delle quali ha ricevuto un livello di criticit\u00e0 elevato. Le vulnerabilit\u00e0 sono state risolte nelle versioni Python 3.13.4 e 3.12.11. La vulnerabilit\u00e0 pi\u00f9 pericolosa (CVE-2025-4517) consente, durante l'estrazione di un archivio opportunamente creato, di scrivere file in qualsiasi parte del file system. Negli script di sistema che utilizzano tarfile e vengono eseguiti con privilegi di root (ad esempio, nelle utility per la gestione dei pacchetti e nei container isolati), la vulnerabilit\u00e0 pu\u00f2 essere sfruttata per ottenere privilegi elevati o uscire oltre i confini del container isolato. <\/p>\n
La vulnerabilit\u00e0 riguarda i progetti in cui il modulo tarfile viene utilizzato per estrarre archivi tar non affidabili, utilizzando la funzione TarFile.extractall() o TarFile.extract() con il parametro 'filter=' impostato su 'data' o 'tar'. La vulnerabilit\u00e0 \u00e8 causata da una gestione errata della sequenza '..' nel nome del link. Il problema colpisce le versioni di Python a partire dalla 3.12. La modalit\u00e0 'filter='data'' \u00e8 applicata per impostazione predefinita nel ramo Python 3.14, attualmente in sviluppo (rilascio previsto per l'autunno). <\/p>\n
Altre vulnerabilit\u00e0 in TarFile: <\/p>\n
\n
CVE-2025-4330 \u2014 possibilit\u00e0 di eludere il filtro dei dati estratti, il che pu\u00f2 portare all'estrazione da un archivio di un link simbolico che punta al di fuori della directory principale in cui viene eseguita l'estrazione.\n
CVE-2025-4138 \u2014 possibilit\u00e0 di creare link simbolici arbitrari al di fuori della directory principale durante l'estrazione di archivi con il parametro 'filter='data''.\n
CVE-2024-12718 \u2014 possibilit\u00e0 di modificare i metadati (ad esempio, la data di modifica) dei file al di fuori della directory di base durante l'estrazione di archivi con il parametro 'filter=\u00bbdata\u00ab' o i diritti di accesso (chmod) durante l'estrazione di archivi con il parametro 'filter=\u00bbtar\u00ab'.\n
CVE-2025-4435 \u2014 se durante l'estrazione dell'archivio il parametro TarFile.errorlevel \u00e8 impostato su 0, allora, contrariamente alla documentazione, gli elementi dell'archivio che rientrano nel filtro specificato venivano estratti invece di essere ignorati. <\/ul>\n