Sårbarhet i Python-modulen TarFile som tillåter skrivning till valfria delar av filsystemet

I den leveransintegrerade Python-modulen tarfile, som tillhandahåller funktioner för att läsa och skriva tar-arkiv, har fem sårbarheter identifierats, varav en har tilldelats en kritisk farlighetsnivå. Sårbarheterna har åtgärdats i versionerna Python 3.13.4 och 3.12.11. Den mest allvarliga sårbarheten (CVE-2025-4517) gör det möjligt att vid extrahering av ett speciellt utformat arkiv skriva filer till vilken del av filsystemet som helst. I systemskrift som använder tarfile och körs med root-rättigheter (till exempel i paketverktyg och isolerade containrar) kan sårbarheten utnyttjas för att höja sina privilegier eller överskrida den isolerade containern.

Sårbarheten påverkar projekt där modulen tarfile används för att extrahera otillförlitliga tar-arkiv, med funktionen TarFile.extractall() eller TarFile.extract() med parametern "filter=" inställd på "data" eller "tar". Sårbarheten orsakas av en felaktig hantering av sekvensen ".." i länkens namn. Problemet påverkar versioner av Python från 3.12 och framåt. Läge 'filter="data"' tillämpas som standard i Python 3.14-grenen som är under utveckling (lansering planeras till hösten).

Andra sårbarheter i TarFile:

• CVE-2025-4330 — möjlighet att kringgå filter för extraherade data, vilket kan leda till extrahering av en symbolisk länk som pekar utanför grundkatalogen dit extraheringen utförs.
• CVE-2025-4138 — möjlighet att skapa godtyckliga symboliska länkar utanför grundkatalogen vid extrahering av arkiv med parametern 'filter="data"'.
• CVE-2024-12718 — möjlighet att ändra metadata (t.ex. ändringstid) för filer utanför grundkatalogen vid extrahering av arkiv med parametern 'filter="data"' eller behörighet (chmod) vid extrahering av arkiv med parametern 'filter="tar"'.
• CVE-2025-4435 — om parametern TarFile.errorlevel vid extrahering av arkivet ställs in på 0, så att element som omfattas av det specificerade filtret extraheras trots dokumentationen, istället för att ignoreras.

Kilde: opennet.ru