{"id":146043,"date":"2025-10-21T23:12:42","date_gmt":"2025-10-21T21:12:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva"},"modified":"2025-10-21T23:12:42","modified_gmt":"2025-10-21T21:12:43","slug":"uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva","title":{"rendered":"Kw vulnerability in Rust-bibliotheken voor het TAR-formaat, wat leidt tot het uitpakken van bestanden uit een genest archief","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In de Rust-bibliotheek async-tar, die functies biedt voor het lezen en schrijven van tar-archieven, is een kwetsbaarheid ontdekt (CVE-2025-62518, codenaam TARmageddon) die het mogelijk maakt om niet alleen de bestanden die in een speciaal gevormd tar-archief zijn geplaatst uit te pakken, maar ook bestanden die zich in een genest tar-archief bevinden. Deze kwetsbaarheid kan worden gebruikt om verifi\u00ebringssystemen voor archieven te omzeilen en bestanden uit te pakken waarvoor geen controle heeft plaatsgevonden. <\/p>\n
De kwetsbaarheid komt ook voor in forks van de async-tar bibliotheek, zoals tokio-tar, krata-tokio-tar en astral-tokio-tar, evenals in op deze basis ontwikkelde tools, zoals de package manager uv, die wordt ontwikkeld als een hoge-prestatie vervanging voor 'pip' voor projecten in de programmeertaal Python. Onder populaire projecten die gebruikmaken van kwetsbare bibliotheken, zijn ook de testcontainers toolkit voor het uitvoeren van docker-containers en de WebAssembly runtime wasmCloud te vermelden. In de crates.is repository zijn er in de afgelopen 90 dagen 1,3 miljoen downloads van de async-tar bibliotheek, 2,2 miljoen van tokio-tar, en 2,9 miljoen van testcontainers. <\/p>\n
De kwetsbaarheid is veroorzaakt door een onjuiste keuze van positie bij het parseren van verschillende waardeformaten in de ustar en PAX headers. In PAX-geformatteerde tar-archieven worden voor elk bestand binnen het archief twee headers opgegeven - de klassieke ustar en de uitgebreide PAX. Het probleem wordt veroorzaakt doordat de kwetsbare bibliotheken bij het uitpakken van bestanden in plaats van de offset te berekenen op basis van de maat uit de uitgebreide PAX-header, de maat namen uit de verouderde ustar-header. Bij een nulwaarde van de maat in de ustar-header, werd de inhoud die daarop volgde behandeld als een correcte TAR-headerblok voor het volgende bestand.
<\/center>
<\/center> <\/p>\n
Om een aanval uit te voeren, is het genoeg om een TAR-archief te maken waarin de ustar-header een nulgrootte aangeeft, terwijl in de PAX-header de actuele grootte staat, waardoor de inhoud van een bestand met een ander tar-archief wordt behandeld als onderdeel van het hoofdarchief. Een voorbeeldcode voor het maken van dergelijke archieven is beschikbaar op GitHub. De kwetsbaarheid is verholpen in de releases tokio-tar 0.5.6 en uv 0.9.5. Voor de overige bibliotheken zijn er momenteel geen fixes gepubliceerd, maar voor astral-tokio-tar, async-tar en krata-tokio-tar zijn afzonderlijke patches voorbereid. <\/p>\n
De kwetsbaarheden in de bibliotheken hebben een bedreigingsniveau van 8.1 uit 10 gekregen, omdat het probleem kan worden gebruikt om uitgepakte bestanden opnieuw te schrijven (in kwetsbare implementaties zullen andere bestanden worden uitgepakt dan die zichtbaar waren in het archief). De kwetsbaarheid in de pakketbeheerder uv is echter als ongevaarlijk gemarkeerd, omdat als een aanvaller invloed kan uitoefenen op de inhoud van het oorspronkelijke archief, er geen zin is om de aanval te compliceeren en de kwetsbaarheid via een genest archief te exploiteren, wanneer code-uitvoering kan worden bereikt via de build-scripts in het hoofdarchief. <\/p>\n
De onderzoekers die de kwetsbaarheid ontdekten, stelden verschillende hypothetische aanvalsscenario's voor die de beveiligingscontroles kunnen omzeilen en code-uitvoering kunnen bereiken door configuratiebestanden te vervangen of in te grijpen in het bouwproces. Het wordt verondersteld dat het ingestuurde archief een geautomatiseerde controle door een beveiligingsscanner en een handmatige audit kan doorstaan, waarbij de auditor geen aandacht zal schenken aan een vreemd genest archief met andere bestanden, waarna bij het uitpakken met behulp van Rust-bibliotheken andere inhoud uit het archief zal worden onthuld dan verwacht. <\/p>\n
Bijvoorbeeld, een aanvaller kan een gemodificeerd archief naar de PyPI-repository uploaden, dat de controle zal doorstaan op basis van de inhoudsanalyse van het hoofdbestand, dat een legitiem pyproject.toml-bestand bevat. Bij de verwerking van dit pakket met de tool uv zal het legitieme pyproject.toml worden vervangen door een kwaadaardige versie uit het geneste archief, dat opdrachten bevat die worden uitgevoerd tijdens de build op de computer van de ontwikkelaar of in het continu integratiesysteem. Evenzo kan de overschrijving van containerbestanden worden georganiseerd bij het uitpakken van de containerafbeelding met behulp van de testcontainers-toolset. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Kw](\"\/wp-content\/uploads\/2025\/10\/7de5eeee8420b77faa0bca075f275700.png\")
<\/center> ![\"Kw](\"\/wp-content\/uploads\/2025\/10\/538645342d5a4408b327ffd87c659c4f.png\")
<\/center> <\/p>\n