{"id":146043,"date":"2025-10-21T23:12:42","date_gmt":"2025-10-21T21:12:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva"},"modified":"2025-10-21T23:12:42","modified_gmt":"2025-10-21T21:12:43","slug":"uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva","title":{"rendered":"Wra\u017cliwo\u015b\u0107 w bibliotekach Rust dla formatu TAR, prowadz\u0105ca do dekompresji plik\u00f3w z zagnie\u017cd\u017conego archiwum","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
W bibliotece async-tar napisanej w j\u0119zyku Rust, oferuj\u0105cej funkcje do odczytu i zapisu archiw\u00f3w tar, zidentyfikowano luk\u0119 (CVE-2025-62518, kodowa nazwa TARmageddon), kt\u00f3ra pozwala na wydobycie nie tylko plik\u00f3w zawartych w specjalnie przygotowanym archiwum tar, ale tak\u017ce plik\u00f3w znajduj\u0105cych si\u0119 w zagnie\u017cd\u017conym archiwum tar podczas jego rozpakowywania. Luki mo\u017cna u\u017cywa\u0107 do obej\u015bcia system\u00f3w weryfikacji archiw\u00f3w i rozpakowywania plik\u00f3w, dla kt\u00f3rych nie przeprowadzono walidacji. <\/p>\n
Vulnerability is also present in forks of the async-tar library, such as tokio-tar, krata-tokio-tar, and astral-tokio-tar, as well as in utilities based on them, for example, the package manager uv, developed as a high-performance alternative to 'pip' for Python projects. Among popular projects using vulnerable libraries, notable mentions include the testcontainers toolkit for running Docker containers and the WebAssembly runtime wasmCloud. In the crates.is repository, over the last 90 days, the async-tar library has recorded 1.3 million downloads, tokio-tar - 2.2 million, and testcontainers - 2.9 million. <\/p>\n
The vulnerability is caused by incorrect position selection when parsing different size values in the ustar and PAX headers. In PAX format tar archives, two headers are specified for each file within the archive - the classic ustar and the extended PAX. The issue arises because the vulnerable libraries, when unpacking files, took the size from the outdated ustar header instead of calculating the offset based on the size from the expanded PAX header. When the size in the ustar header is zero, the subsequent file contents are processed as a valid TAR header block for the next file.
<\/center>
<\/center> <\/p>\n
Aby przeprowadzi\u0107 atak, wystarczy stworzy\u0107 archiwum TAR, w kt\u00f3rym w nag\u0142\u00f3wku ustar wskazany jest zerowy rozmiar, a w nag\u0142\u00f3wku formatu PAX aktualny rozmiar, przez co zawarto\u015b\u0107 pliku z innym archiwum tar b\u0119dzie przetwarzana jako cz\u0119\u015b\u0107 g\u0142\u00f3wnego archiwum. Przyk\u0142ad kodu do tworzenia takich archiw\u00f3w jest zamieszczony na GitHub. Luka zosta\u0142a usuni\u0119ta w wersjach tokio-tar 0.5.6 i uv 0.9.5. W przypadku pozosta\u0142ych bibliotek poprawki s\u0105 na razie niedost\u0119pne, ale dla astral-tokio-tar, async-tar i krata-tokio-tar przygotowano osobne patche. <\/p>\n
Luki bezpiecze\u0144stwa w bibliotekach przyznano poziom zagro\u017cenia 8.1 w skali 10, poniewa\u017c problem ten mo\u017ce by\u0107 wykorzystany do nadpisywania rozpakowywanych plik\u00f3w (w podatnych implementacjach rozpakowywane b\u0119d\u0105 nie te pliki, kt\u00f3re by\u0142y widoczne w archiwum). Jednocze\u015bnie luka w mened\u017cerze pakiet\u00f3w uv oznaczona jest jako niebezpieczna, poniewa\u017c je\u015bli atakuj\u0105cy ma wp\u0142yw na zawarto\u015b\u0107 oryginalnego archiwum, to nie ma sensu komplikowa\u0107 ataku i wykorzystywa\u0107 luk\u0119 poprzez zagnie\u017cd\u017cone archiwum, kiedy mo\u017cna osi\u0105gn\u0105\u0107 wykonanie kodu poprzez skrypty buduj\u0105ce w g\u0142\u00f3wnym archiwum. <\/p>\n
Badacze, kt\u00f3rzy odkryli luk\u0119, zaproponowali kilka hipotetycznych scenariuszy atak\u00f3w, kt\u00f3re pozwalaj\u0105 obej\u015b\u0107 kontrole bezpiecze\u0144stwa i osi\u0105gn\u0105\u0107 wykonanie kodu poprzez zast\u0105pienie plik\u00f3w konfiguracyjnych lub ingerencj\u0119 w proces budowy. Zak\u0142ada si\u0119, \u017ce przes\u0142ane archiwum b\u0119dzie mog\u0142o przej\u015b\u0107 zautomatyzowan\u0105 weryfikacj\u0119 skanerem bezpiecze\u0144stwa i r\u0119czny audyt, w trakcie kt\u00f3rego audytor nie zwr\u00f3ci uwagi na dziwne zagnie\u017cd\u017cone archiwum z innymi plikami, a nast\u0119pnie podczas rozpakowywania za pomoc\u0105 bibliotek Rust z archiwum zostanie wyodr\u0119bniona inna zawarto\u015b\u0107, ni\u017c oczekiwano. <\/p>\n
Na przyk\u0142ad, atakuj\u0105cy mo\u017ce przes\u0142a\u0107 zmodyfikowane archiwum do repozytorium PyPI, kt\u00f3re przejdzie weryfikacj\u0119 na podstawie analizy zawarto\u015bci g\u0142\u00f3wnego archiwum, zawieraj\u0105cego legalny plik pyproject.toml. Podczas przetwarzania tego pakietu za pomoc\u0105 narz\u0119dzia uv legalny plik pyproject.toml zostanie zast\u0105piony z\u0142o\u015bliw\u0105 wersj\u0105 z zagnie\u017cd\u017conego archiwum, zawieraj\u0105c\u0105 polecenia, kt\u00f3re zostan\u0105 wykonane podczas budowy na komputerze programisty lub w systemie ci\u0105g\u0142ej integracji. Podobnie, mo\u017cna zorganizowa\u0107 nadpisywanie plik\u00f3w kontenera podczas wyodr\u0119bniania obrazu kontenera za pomoc\u0105 narz\u0119dzi testcontainers. \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Wra\u017cliwo\u015b\u0107](\"\/wp-content\/uploads\/2025\/10\/7de5eeee8420b77faa0bca075f275700.png\")
<\/center> ![\"Wra\u017cliwo\u015b\u0107](\"\/wp-content\/uploads\/2025\/10\/538645342d5a4408b327ffd87c659c4f.png\")
<\/center> <\/p>\n