{"id":135918,"date":"2025-06-06T03:05:07","date_gmt":"2025-06-06T01:05:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-python-module-tarfile-dopuskayushhaya-zapis-v-lyubye-chasti-fs"},"modified":"2025-06-06T03:05:07","modified_gmt":"2025-06-06T01:05:07","slug":"uyazvimost-v-python-module-tarfile-dopuskayushhaya-zapis-v-lyubye-chasti-fs","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimost-v-python-module-tarfile-dopuskayushhaya-zapis-v-lyubye-chasti-fs","title":{"rendered":"Kwetsbaarheid in de Python-module TarFile die schrijven naar willekeurige delen van het bestandssysteem mogelijk maakt","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In de standaard Python-module tarfile, die functies biedt voor het lezen en schrijven van tar-archieven, zijn vijf kwetsbaarheden ontdekt, waarvan er \u00e9\u00e9n een kritieke ernst heeft gekregen. Deze kwetsbaarheden zijn verholpen in de releases Python 3.13.4 en 3.12.11. De meest gevaarlijke kwetsbaarheid (CVE-2025-4517) stelt een aanvaller in staat om, bij het uitpakken van een zorgvuldig vervaardigd archief, bestanden in elk deel van het bestandssysteem te schrijven. In systeemscripts die tarfile gebruiken en met root-rechten worden uitgevoerd (zoals in pakketbeheer- en containerisolatietools), kan deze kwetsbaarheid worden gebruikt om privilege-escalatie te realiseren of om buiten de ge\u00efsoleerde container te komen. <\/p>\n
De kwetsbaarheid betreft projecten waarin de tarfile-module wordt gebruikt voor het uitpakken van onbetrouwbare tar-archieven, met gebruik van de functie TarFile.extractall() of TarFile.extract() met de parameter \u2018filter=\u2019 ingesteld op \u2018data\u2019 of \u2018tar\u2019. De kwetsbaarheid is veroorzaakt door een onjuiste verwerking van de sequentie \u2018..\u2019 in de naam van de link. Het probleem betreft versies van Python vanaf 3.12. De modus \u2018filter=\u2019data\u2019\u2018 is standaard ingeschakeld in de Python 3.14 tak, die momenteel in ontwikkeling is (de release is gepland voor de herfst). <\/p>\n
Andere kwetsbaarheden in TarFile: <\/p>\n
\n
CVE-2025-4330 \u2014 de mogelijkheid om de filter van de ge\u00ebxtraheerde gegevens te omzeilen, wat kan leiden tot het extraheren van een symbolische link uit het archief die naar buiten de basisdirectory wijst waar de uitpakoperatie wordt uitgevoerd.\n
CVE-2025-4138 \u2014 de mogelijkheid om willekeurige symbolische links te cre\u00ebren buiten de basisdirectory bij het uitpakken van archieven met de parameter \u2018filter=\u2019data\u2019\u2018.\n
CVE-2024-12718 \u2014 de mogelijkheid om metadata (bijvoorbeeld wijzigingstijd) van bestanden buiten de basisdirectory te wijzigen bij het uitpakken van archieven met de parameter \u2018filter=\u2019data\u2019\u2018 of bestandsrechten (chmod) bij het uitpakken van archieven met de parameter \u2018filter=\u2019tar\u2019\u2018.\n
CVE-2025-4435 \u2014 als bij het uitpakken van een archief de parameter TarFile.errorlevel is ingesteld op 0, dan werden de elementen die onder de opgegeven filter vielen, in tegenstelling tot de documentatie uitgepakt in plaats van genegeerd. <\/ul>\n